SonicWall SMA1000 Appliances の安全でないデシリアライズの脆弱性（CVE-2025-23006）

何が起きた

SonicWall のリモート接続用の機器 SMA1000 の、Appliance Management Console（AMC）と Central Management Console（CMC）に、信頼できないデータの逆シリアル化の弱点が見つかりました。条件によっては、ログインしていない攻撃者が離れた場所から、OS の命令を動かせるおそれがあります。SonicWall は、この弱点が攻撃者に悪用された可能性があるという知らせを受けたとしており、CISA も実際の悪用を確認しています。CISA の一覧では、ランサムウェアの攻撃に使われたことも分かっています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

SonicWall SMA1000 シリーズと Central Management Server（CMS）の、12.4.3-02804（platform-hotfix）以前のバージョンを使っている組織が対象です。SonicWall のファイアウォールと SMA 100 シリーズは影響を受けません。

何をすればいい

12.4.3-02854（platform-hotfix）以降に更新されているか確認してください。すぐに更新できない場合、SonicWall は回避策として、AMC と CMC への接続を信頼できる接続元だけに制限するよう案内しています。SonicWall は、AMC の管理メッセージのログに逆シリアル化の失敗を示すエラーが残ることを、侵入の痕跡の例として示しています。公式の案内も確認してください。

やることチェックリスト

• 12.4.3-02854 以降に更新する
• AMC と CMC への接続を信頼できる元に制限する
• AMC の管理メッセージのログで侵入の痕跡を確認する

用語メモ

逆シリアル化

送られてきたデータを、プログラムの中で使える形に組み立て直す処理です。信頼できないデータを組み立てると、攻撃者の命令を動かされることがあります。

ランサムウェア

データを使えなくして、元に戻す代わりにお金を要求する悪意のあるプログラムです。

侵入の痕跡

攻撃を受けたときに機器やログに残る、手がかりになる跡のことです。