SonicWall製ファイアウォールにDoS脆弱性 - SSL VPN有効時に影響

SonicWallは現地時間2025年11月19日、セキュリティアドバイザリを公開し、同社製ファイアウォールに搭載されている「SonicOS」の脆弱性について明らかにした。

「SSL VPNサービス」を有効化している場合に、細工したパケットによりスタックベースのバッファオーバーフローが生じる脆弱性「CVE-2025-40601」が明らかとなったもの。認証を必要とすることなく、リモートよりDoS攻撃を行うことが可能となる。

第7世代や第8世代モデルのほか、仮想環境向けのバーチャルファイアウォールなどが影響を受ける。同社リモートアクセス製品「SMA 1000」「同100」については対象とならない。

共通脆弱性評価システム「CVSSv3.0」のベーススコアは「7.5」、重要度は4段階中、上から2番目にあたる「高（High）」とレーティングされている。セキュリティアドバイザリの公開時点で脆弱性の悪用などは確認されていない。

脆弱性の判明を受けて、同社は第8世代向けにアップデートとなる「SonicOS 8.0.3-8011」、第7世代向けに「SonicOS 7.3.1-7013」をリリースした。

またアップデートを実施するまでの緩和策として、「SSL VPN」に対して信頼できるアクセス元のみに通信を制限することや、「SSL VPN」の無効化を強く推奨している。

（Security NEXT - 2025/11/21 ）ツイート