SonicWall SMA 100シリーズに深刻な脆弱性-認証済みリモートコード実行の恐れ(CVE-2025-40599)|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2025年07月29日更新日時: 2025年07月29日

2025年7月、SonicWall SMA 100シリーズ（SMA 210、410、500v）のWeb管理インターフェースにおいて、認証済み任意ファイルアップロード脆弱性（CVE-2025-40599）が発見され、SonicWallより緊急のセキュリティアドバイザリが公開されました。この脆弱性は、管理者権限を持つ攻撃者がWeb UIから任意ファイルをアップロードすることで、リモートコード実行（RCE）が可能になるという深刻なものです。

1 脆弱性の概要
2 SonicWallの推奨対応策
- 2.1 全デバイスに共通の対応
- 2.2 SMA 500v（仮想アプライアンス）に対する特別対応
  - 2.2.1 手順概要：

脆弱性の概要

今回SonicWallが公開した脆弱性（CVE-2025-40599）は、SMA 100シリーズ製品（SMA 210 / 410 / 500v）のWeb管理インターフェースにおける認証済みのファイルアップロードの不備に起因するものです。

この問題は、管理者としてログインした攻撃者が、管理画面を通じて任意のファイルをデバイス上にアップロードできてしまうというもので、悪用されるとそのファイルを介してリモートからコードを実行する（RCE）ことが可能になります。言い換えれば、攻撃者がファイアウォールやVPN機器そのものを“踏み台”として制御下に置くことができる状態です。

この脆弱性の深刻度は、CVSSスコア9.1（Critical）と非常に高く評価されており、組織のネットワーク基盤に重大な影響を及ぼす恐れがあります。

対象となるファームウェアバージョンは10.2.1.15-81sv以前であり、最新版（10.2.2.1-90sv）で修正済みです。

現在のところ、当該脆弱性が「野放しで悪用された」という証拠は確認されていませんが、Google Threat Intelligence Group（GTIG）の報告では、攻撃者グループ「UNC6148」がSMA 100シリーズを利用してバックドア（OVERSTEP）を展開していた形跡があるとされています。つまり、攻撃者がSMAの管理者アカウントを取得した上で、この脆弱性と組み合わせて侵入を拡大させていた可能性があるということです。

こうした背景から、単にパッチを当てるだけでなく、パスワードリセットやOTP（ワンタイムパスワード）の再初期化、ログの確認などの追加対策が強く推奨されています。