A SonicWall publicou um alerta de segurança detalhando três vulnerabilidades descobertas em seu cliente VPN NetExtender para Windows, amplamente utilizado por empresas para acesso remoto seguro a redes internas. As falhas afetam as versões 10.3.1 e anteriores do NetExtender e, embora não haja indícios de exploração ativa, a empresa reforça a urgência da atualização para evitar potenciais riscos. A primeira falha, catalogada como CVE-2025-23008, envolve uma má gestão de privilégios e recebeu pontuação CVSS de 7.2. Ela permite que um usuário com privilégios baixos modifique configurações críticas da máquina local, podendo redirecionar conexões VPN ou enfraquecer parâmetros de segurança, comprometendo a integridade do acesso remoto.
A segunda vulnerabilidade, CVE-2025-23009, é um vetor clássico de escalonamento de privilégios. Com pontuação CVSS de 5.9, ela permite a exclusão arbitrária de arquivos locais, o que pode ser explorado para elevar privilégios ou interromper serviços. Além disso, pode ser combinada com outras falhas para agravar o impacto, como a eliminação de logs de segurança ou políticas de acesso. Já a terceira falha, CVE-2025-23010 (CVSS 6.5), trata de um problema no manuseio de links simbólicos (symlinks).
Através dessa brecha, um atacante pode redirecionar operações de arquivos para locais não autorizados, podendo interferir em arquivos do sistema ou manipular credenciais VPN redirecionando-as para caminhos controlados por invasores. As vulnerabilidades afetam todas as versões do NetExtender para Windows (32 e 64 bits) até a 10.3.1. A correção foi disponibilizada na versão 10.3.2 e posteriores. A SonicWall destaca que, apesar de nenhuma dessas falhas ter sido explorada até o momento, elas representam risco real caso sejam ignoradas. Como medida de mitigação, a empresa recomenda fortemente que todos os usuários do NetExtender atualizem imediatamente para a versão corrigida, visando proteger os sistemas contra alterações não autorizadas, escalonamento de privilégios e manipulação de caminhos de arquivos.
