Une vulnérabilité récemment divulguée dans les pare-feu SonicWall pourrait permettre à des attaquants distants de faire planter les appareils concernés sans authentification, faisant peser un risque sur les organisations qui s’appuient sur SonicOS pour assurer la sécurité de leur périmètre.
SonicWall a annoncé qu’un dépassement de tampon dans le service SSLVPN de SonicOS pouvait être exploité pour provoquer des conditions de déni de service (DoS).
Bien que SonicWall ne fasse état d’aucune exploitation active, l’entreprise exhorte les organisations à appliquer immédiatement le correctif, compte tenu de la faible complexité de l’attaque et de la forte probabilité de voir apparaître des attaques dès la publication d’un code de preuve de concept (PoC).
Dans son avis, SonicWall a déclaré que la vulnérabilité « … permet à un attaquant distant non authentifié de provoquer un déni de service (DoS), ce qui pourrait entraîner le plantage d’un pare-feu concerné. »
La vulnérabilité SSLVPN de SonicWall
Selon l’équipe de sécurité interne de SonicWall, la faille (CVE-2025-40601) découle d’un dépassement de tampon basé sur la pile au sein du service SSLVPN de SonicOS.
En envoyant des données spécialement conçues à l’interface SSLVPN, un attaquant peut déclencher une écriture mémoire qui fait planter le processus et, dans certains cas, interrompt le fonctionnement de l’ensemble du pare-feu.
Comme l’attaque nécessite uniquement un accès réseau au port SSLVPN et aucune interaction de l’utilisateur, son exploitation est simple : un adversaire peut cibler le service exposé et répéter la requête afin de provoquer des interruptions persistantes.
La vulnérabilité concerne un large éventail de produits SonicWall, dans des déploiements matériels comme virtuels, au sein des familles Gen7 et Gen8.
Les systèmes concernés comprennent les pare-feu matériels Gen7 des séries TZ, NSa et NSsp exécutant la version 7.3.0 – 7012 ou une version antérieure du firmware, ainsi que les modèles de pare-feu virtuels Gen7 (NSv) déployés sur ESX, KVM, Hyper-V, AWS et Azure avec les mêmes versions vulnérables.
Les appareils Gen8, notamment les séries TZ et NSa, sont également concernés s’ils exécutent la version 8.0.2 – 8011 ou une version antérieure du firmware.
SonicWall a confirmé que les pare-feu Gen6 et les appliances SSL VPN SMA 100/1000 ne sont pas concernés.
Pour remédier au problème, les organisations doivent appliquer immédiatement les versions corrigées, en mettant à jour les appareils Gen7 vers la version 7.3.1 – 7013 ou une version ultérieure, et les appareils Gen8 vers la version 8.0.3 – 8011 ou une version ultérieure.
Mesures clés pour sécuriser les services VPN vulnérables
Comme la faille permet à des attaquants non authentifiés de faire planter des pare-feu à distance, il est essentiel de limiter la surface d’attaque et de renforcer les contrôles d’accès.
Au-delà de l’application des correctifs, les équipes de sécurité doivent réévaluer la manière dont leurs services VPN sont exposés, authentifiés et surveillés afin de prévenir les tentatives d’exploitation.
- Limitez l’exposition du SSLVPN en restreignant l’accès à des plages d’adresses IP de confiance ou désactivez temporairement le service s’il n’est pas indispensable à la mission.
- Placez le SSLVPN derrière une passerelle d’accès sécurisée ou un proxy inverse afin d’empêcher le trafic directement exposé à Internet.
- Mettez en place des règles de pare-feu strictes et une surveillance IPS/IDS pour bloquer les requêtes SSLVPN non sollicitées ou anormales, en particulier celles provenant de sources à haut risque.
- Activez la MFA, vérifiez l’hygiène des comptes VPN et imposez une authentification forte sur tous les accès distants.
- En continu, surveillez les journaux et les alertes SIEM en cas de plantage des VPN, de requêtes malformées ou d’activité d’authentification inhabituelle.
- Surveillez la surface d’attaque externe et effectuez régulièrement un audit des configurations afin de détecter toute exposition involontaire du SSLVPN ou tout paramétrage TLS faible.
- Utilisez la segmentation réseau et des pare-feu redondants avec basculement automatique afin d’assurer la continuité du service si un appareil devient indisponible à la suite d’une attaque.
Pour rester résilientes, les organisations doivent considérer les systèmes d’accès distant comme des infrastructures essentielles et les renforcer au moyen de contrôles d’accès stricts, d’une surveillance continue et de vérifications régulières des configurations.
Les risques de sécurité en périphérie du réseau
Cette vulnérabilité met en évidence les risques persistants posés par les systèmes en périphérie — en particulier les appliances VPN qui servent de points d’entrée vers les réseaux d’entreprise.
Ces appareils restent des cibles privilégiées pour les acteurs criminels comme pour ceux liés à des États, car leur compromission peut immédiatement perturber les opérations ou permettre des intrusions plus profondes.
Alors que le travail hybride s’inscrit dans la durée, la sécurisation de l’accès distant exige l’application rapide des correctifs, des contrôles stricts de l’exposition et une surveillance continue pour détecter et contenir les activités malveillantes.
Cette exposition croissante en périphérie du réseau rend les principes de confiance zéro indispensables pour se protéger contre les attaquants qui progressent au-delà de leur point d’ancrage initial.