Duizenden SonicWall-appliances missen update voor buffer overflows
Duizenden appliances van SonicWall, waarvan zo'n honderd in Nederland, missen een beveiligingsupdate voor verschillende kwetsbaarheden die tot buffer overflows kunnen leiden en het mogelijk voor ongeauthenticeerde aanvallers maken om een denial of service te veroorzaken of code uit te voeren. Dat laat The Shadowserver Foundation op basis van eigen onderzoek weten. Uitgebreide technische details over de kwetsbaarheden zijn openbaar.
De problemen zijn aanwezig in de SonicWall Secure Mobile Access (SMA) 100 series appliances. De SMA is een gateway waarmee medewerkers vanaf allerlei willekeurige apparaten op afstand toegang tot de netwerken en cloudomgevingen van hun organisatie kunnen krijgen. Op 23 juli kwam SonicWall met een beveiligingsupdate voor twee buffer overflows en een cross-site scripting-lek in de SMA 100. De problemen (CVE-2025-40596, CVE-2025-40597 en CVE-2025-40598) zijn aanwezig in de webinterface van de SMA 100 en kunnen in het ergste geval leiden tot het uitvoeren van code door een ongeauthenticeerde aanvaller.
SonicWall heeft klanten opgeroepen om de beveiligingsupdate te installeren. Het securitybedrijf stelde ook dat het niet bekend is met misbruik van de problemen. Op 28 juli maakte securitybedrijf watchTowr details over de kwetsbaarheden bekend. The Shadowserver Foundation, een stichting die onderzoek naar kwetsbare systemen op internet doet, voerde een scan uit naar SonicWall-appliances die de update missen. Dit leverde minstens 3200 ip-adressen op, waarvan zo'n honderd in Nederland. Kwetsbaarheden in de SMA 100 zijn in het verleden geregeld gebruikt bij aanvallen, waaronder voor de verspreiding van ransomware.
We hebben het hier niet over obscure developer machines, maar over gateways die expliciet bedoeld zijn om medewerkers externe toegang tot bedrijfsnetwerken te geven — oftewel, direct toegang tot de kroonjuwelen. En dan laten beheerders daar buffer overflows in de webinterface openstaan, alsof dat niet de eerste plek is waar elke scanner op afduikt zodra een PoC op GitHub verschijnt.
SonicWall zegt zelf dat er geen misbruik bekend is, maar dat is eerder geruststelling uit automatisme dan een garantie. Zeker omdat deze appliances in het verleden al vaker doelwit waren van ransomwaregroepen. Combineer dat met het feit dat Shadowserver nu 3200 kwetsbare installaties detecteert, en je hebt de perfecte storm voor de volgende golf van aanvallen.
Als je SMA 100 draait en je patcht niet binnen dagen na het uitkomen van dit soort updates, dan fungeer je in feite als publiek eigendom. Dat er in Nederland nog zo'n honderd van deze dingen kwetsbaar openstaan is geen kwestie van "nog niet aan toegekomen" — het is nalatigheid met mogelijk grote gevolgen.
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Cybersecurity Trainer / Full Stack Developer
Ben je toe aan een nieuwe job waarmee je het verschil maakt? Wil jij je security kennis graag delen en hands-on laten zien hoe cybersecurity in de praktijk echt werkt? Werk je net als wij graag samen met enthousiaste en gedreven collega's? Bij ons geen bureaucratie maar open communicatie en een werkomgeving gericht op samenwerking.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?