SonicWall SMA100 の脆弱性 CVE-2025-40596／40597／40598 が FIX：メモリ破損と XSS の可能性

Researchers Reveal Technical Details of SonicWall SMA100 Series N-Day Vulnerabilities

2025/07/29 gbhackers — SonicWall の SMA100 シリーズ SSL-VPN アプライアンスに影響を及ぼす、３件の脆弱性に関する技術的な詳細が、セキュリティ研究者たちにより公開された。これらの脆弱性が浮き彫りにするのは、リモート・コード実行／クロスサイト・スクリプティング (XSS) を可能とする、認証前のセキュリティ欠陥に関する懸念である。このネットワーク・アプライアンスの、ファームウェア・バージョン 10.2.1.15 における脆弱性が示すのは、プログラミング上の典型的な落とし穴が、セキュリティ上の根本的な課題となっていることだ。

重大な認証前バッファオーバーフローの発見

watchTowr Labs の研究チームが特定したのは、認証を必要としない２件のバッファ・オーバーフロー脆弱性であり、HTTP リクエスト処理時の不適切な入力検証に起因するものだ。１件目の脆弱性 CVE-2025-40596 は、SSL-VPN サービスの HTTP リクエストを処理する、httpd バイナリに存在するスタックバッファ・オーバーフローの欠陥である。

CVE IDTypeAuthentication RequiredSeverity Impact
CVE-2025-40596Stack-based Buffer OverflowNoRemote Code Execution
CVE-2025-40597Heap-based Buffer OverflowNoRemote Code Execution
CVE-2025-40598Reflected Cross-Site ScriptingNo (User Interaction Required)Session Hijacking

アプリケーションで用いられる sscanf 関数における、安全性が確保されない方法により、/api/ で始まる URI が処理される際に、この脆弱性が発生する。この関数呼び出しでは、固定長のスタック・バッファにユーザー入力がコピーされるが、境界チェックが行われない構造となっていた。

研究者たちは、この URI パスへ向けて、約 3,000 個の “A” 文字を取り込んだ単純な Python １行のデータを送信することで、この脆弱性の悪用が可能であることを実証した。

スタック保護メカニズムが有効化されているため、ダイレクトな悪用は困難とされるが、この種の基本的なプログラミング・エラーが、ネットワーク・セキュリティ・アプライアンスで発生し得ることは重大な懸念事項である。

２件目のバッファ・オーバーフローの脆弱性 CVE-2025-40597 は、”mod_httprp.so” 共有オブジェクト・ライブラリにおける、ヒープ・メモリ処理に起因する。

この脆弱性は、Host ヘッダーの解析時に発生するものだ。開発者は __sprintf_chk という安全な関数を使用していたが、サイズ・パラメータに -1 が渡されていたことで、この保護機構が完全に無効化されていた。この誤用により、境界チェックが機能せず、128 Byte ヒープバッファがオーバーフローを引き起こし、隣接するヒープ・メタデータを破損する可能性が生じる。その結果として、攻撃者はコード実行の前提条件を整えられる。

３件目の脆弱性 CVE-2025-40598 は、radiusChallengeLogin エンドポイントに存在する反射型クロスサイト・スクリプティング (XSS) の欠陥である。

この脆弱性を悪用する攻撃者は、state パラメータを用いて悪意の JavaScript コードを挿入しその結果はフィルタリングされることなく、レスポンス内に反映されるという。

特に、SMA100 にビルトインされる WAF (web application firewall) は、管理インターフェイス上では非アクティブであるように見受けられ、初歩的な XSS ペイロードであっても実行可能となり得る。

ーーーーー

一連の脆弱性の発見が示すのは、このネットワーク・アプライアンス開発において、依然としてセキュア・コーディングが実践されていないことである。

研究者が強い懸念を示すのは、不正な HTTP ヘッダーに起因する認証前バッファ・オーバーフローが、現代のセキュリティ機器において依然として蔓延している点である。こうした問題について、C 言語プログラミングのナイーブな時代の遺物であると、研究者たちは評している。

すでに SonicWall は、セキュリティ・アップデートを提供し、これらの脆弱性に対処している。また、詳細な情報については、公式セキュリティ・アドバイザリ SNWLID-2025-0012 で説明されている。

SMA100 シリーズ・アプライアンスを使用する組織にとって必要なことは、提供されているパッチを優先的に適用し、悪用のリスクを軽減することである。

この調査結果が示すのは、ネットワーク・インフラ構成するコンポーネントにおいて、特に組織の境界防御を担うデバイスにおいて、厳格なセキュア・コーディングの実践と包括的なセキュリティ・テストが、依然として重要であることだ。

SonicWall の VPN デバイスに、認証前の脆弱性が見つかりました。入力チェックが不十分なために発生する、バッファ・オーバーフローが原因とされています。C 言語でよくある、sscanf や sprintf の扱い方の問題があり、予想外のデータが流れ込んでメモリが破損すると、この記事は報じています。ご利用のチームは、十分に ご注意ください。よろしければ、SonicWall で検索も、ご参照ください。