SonicWall, SMA1000 Cihaz Yönetim Konsolu’nda (AMC) tespit edilen bir güvenlik açığı konusunda müşterilerini uyardı. Orta önem dereceli yerel ayrıcalık yükseltme açığı (CVE-2025-40602), sıfırıncı gün saldırılarında zincirlenerek kullanıldı. Şirket, kullanıcılara en son güvenlik düzeltme sürümüne geçmeleri çağrısında bulundu.
Kritik Öneme Sahip CVE-2025-23006 Açığı Ocak’ta Giderilmişti
Google Tehdit İstihbarat Grubu’ndan Clément Lecigne ve Zander Work tarafından bildirilen açık, SonicWall güvenlik duvarlarında çalışan SSL-VPN’i etkilemiyor. Ancak uzaktan kimlik doğrulaması gerektirmeyen saldırganlar, bu açığı kritik öneme sahip bir başka zafiyetle (CVE-2025-23006) birleştirdi. Bu kombinasyon, belirli koşullarda kök ayrıcalıklarla uzaktan kod yürütülmesine olanak sağladı.
CVE-2025-23006 açığı, 22 Ocak 2025’te yayınlanan 12.4.3-02854 platform düzeltme sürümü ve sonraki versiyonlarda giderildi. Bu açığın CVSS puanı 9.8 olarak belirlenmişti. İnternet izleme kuruluşu Shadowserver, çevrimiçi olarak erişilebilir durumdaki 950’den fazla SMA1000 cihazını takip ediyor. Ancak bu cihazların bir kısmı saldırı zincirine karşı yamanmış olabilir.
SMA1000, büyük kuruluşlar tarafından kurumsal ağlara VPN erişimi sağlamak için kullanılan güvenli bir uzaktan erişim cihazı. Kurumsal, kamu ve kritik altyapı kuruluşlarındaki hayati rolleri nedeniyle, yamalanmamış açıklar özellikle yüksek sömürülme riski taşıyor.
Geçen ay SonicWall, devlet destekli bilgisayar korsanlarını Eylül ayındaki bir güvenlik ihlaliyle ilişkilendirdi. Bu ihlalde müşterilerin güvenlik duvarı yapılandırma yedek dosyaları açığa çıkmıştı. Olay, araştırmacıların çalınan kimlik bilgileri kullanılarak ele geçirilen 100’den fazla SonicWall SSLVPN hesabı konusunda uyarmasından yaklaşık bir ay sonra gerçekleşti.
Eylül ayında şirket, SMA 100 serisi cihazlara yönelik saldırılarda kullanılan OVERSTEP rootkit kötü amaçlı yazılımını kaldırmak için bir donanım yazılımı güncellemesi yayınladı. Bir ay önce ise SonicWall, Akira fidye yazılımı çetesinin potansiyel bir sıfırıncı gün açığı kullanarak Gen 7 güvenlik duvarlarını hacklediği iddialarını reddetmişti. Şirket, bu olayları Kasım 2024’te yamalanan kritik bir güvenlik açığına (CVE-2024-40766) bağlamıştı.
Siber güvenlik firması Rapid7 ve Avustralya Siber Güvenlik Merkezi (ACSC) daha sonra SonicWall’ın bulgularını doğruladı. Akira çetesinin, yamalanmamış SonicWall cihazlarını hedef almak için CVE-2024-40766 açığından yararlandığını belirtti.
SonicWall kullanıcıları, güvenlik açıklarına karşı korunmak için ürün yazılımlarını güncel tutmalı. SMA1000 cihazlarının en son sürüme güncellenmesi, olası saldırılara karşı en etkili koruma yöntemini oluşturuyor. Şirketlerin, uzaktan erişim cihazlarını düzenli olarak izlemesi ve şüpheli etkinlikleri araştırması önem taşıyor.
