SonicWall製ファイアウォールにDoS脆弱性 - SSL VPN有効時に影響

SonicWallは現地時間2025年11月19日、セキュリティアドバイザリを公開し、同社製ファイアウォールに搭載されている「SonicOS」の脆弱性について明らかにした。

「SSL VPNサービス」を有効化している場合に、細工したパケットによりスタックベースのバッファオーバーフローが生じる脆弱性「CVE-2025-40601」が明らかとなったもの。認証を必要とすることなく、リモートよりDoS攻撃を行うことが可能となる。

第7世代や第8世代モデルのほか、仮想環境向けのバーチャルファイアウォールなどが影響を受ける。同社リモートアクセス製品「SMA 1000」「同100」については対象とならない。

共通脆弱性評価システム「CVSSv3.0」のベーススコアは「7.5」、重要度は4段階中、上から2番目にあたる「高（High）」とレーティングされている。セキュリティアドバイザリの公開時点で脆弱性の悪用などは確認されていない。

脆弱性の判明を受けて、同社は第8世代向けにアップデートとなる「SonicOS 8.0.3-8011」、第7世代向けに「SonicOS 7.3.1-7013」をリリースした。

またアップデートを実施するまでの緩和策として、「SSL VPN」に対して信頼できるアクセス元のみに通信を制限することや、「SSL VPN」の無効化を強く推奨している。

（Security NEXT - 2025/11/21 ） ツイート

PR

関連記事

米当局、脆弱性悪用リストに4件追加 - ランサム対策製品の脆弱性も
「Apache Tomcat」に複数脆弱性 - 1月の更新でいずれも修正済み
UIライブラリ「Swiper」に深刻な脆弱性 - 利用アプリは注意
「Microsoft Semantic Kernel」のPython SDKに深刻な脆弱性
広く利用されるVSCode拡張機能「Live Server」に脆弱性 - 未修正状態続く
OpenText製品向けID統合基盤「OTDS」に脆弱性 - 修正版を公開
米当局、「Dell RP4VMs」や「GitLab」の脆弱性悪用に注意喚起
「Chrome」にセキュリティアップデート - 今月4度目の脆弱性対応
DellのVM環境向け復旧製品にゼロデイ脆弱性 - 悪用報告も
「MS Edge」にアップデート - ゼロデイ含む脆弱性13件を解消