Para obtener acceso root, solo necesitas ser administrador… o simplemente iniciar sesión a través de SSL-VPN

SonicWall ha corregido tres vulnerabilidades críticas en los dispositivos de acceso remoto seguro SMA 100, que permiten a los atacantes ejecutar código arbitrario como root. Dado que estos dispositivos se utilizan activamente en entornos corporativos para habilitar el acceso VPN, los riesgos resultaron ser extremadamente graves.

La más peligrosa de las tres vulnerabilidades es CVE-2025-32819 con una puntuación de 8.8 en la escala CVSS. Permite a un usuario con privilegios SSL-VPN eludir la verificación de rutas y eliminar cualquier archivo, lo que puede provocar el restablecimiento del dispositivo a su configuración de fábrica. Los expertos de Rapid7 consideran que esta vulnerabilidad es una evasión de un error previamente corregido, que fue reportado por NCC Group en diciembre de 2021.

La siguiente falla — CVE-2025-32820 — con una puntuación de 8.3, permite mediante path traversal hacer que cualquier directorio en el dispositivo sea escribible. Y la tercera — CVE-2025-32821 — con una puntuación de 6.7, da al administrador SSL-VPN la capacidad de inyectar argumentos de línea de comandos y cargar un archivo en el dispositivo.

Los especialistas de Rapid7 demostraron que estas tres vulnerabilidades pueden combinarse en una única cadena de ataque. Un atacante que obtenga acceso a una cuenta SSL-VPN puede escribir datos en directorios del sistema sensibles, escalar privilegios a administrador de SMA, y luego cargar y ejecutar un archivo malicioso, obteniendo control total sobre el sistema.

Aunque SonicWall no ha reportado casos confirmados de explotación de estas vulnerabilidades, los investigadores señalaron indicios de compromiso y creen que al menos CVE-2025-32819 podría haberse utilizado en ataques como una zero-day.

Las vulnerabilidades afectan a los modelos SMA 200, 210, 400, 410 y 500v. Todos los problemas fueron corregidos en la actualización de firmware versión 10.2.1.15-81sv. En el contexto de ataques recientes contra dispositivos SMA 100, incluidas las vulnerabilidades CVE-2021-20035, CVE-2023-44221 y CVE-2024-38475, que ya están siendo explotadas activamente, se recomienda a los administradores actualizar sus sistemas de inmediato.