SonicWall SMA 1000 — كاشف التعرض CVE-2026-83548 / CVE-2026-83549

سكربت كشف غير تدخلي لأجهزة SonicWall Secure Mobile Access (SMA) 1000 المتأثرة بـ CVE-2026-83548 (SSRF قبل المصادقة في واجهة Work Place، CVSS 10.0) و CVE-2026-83549 (حقن أوامر نظام التشغيل بعد المصادقة في AMC، CVSS 7.8) — ثغرتان يوم الصفر تُستغلان بنشاط ويتم ربطهما لتنفيذ أوامر عن بُعد بدون مصادقة.

هذا فحص لحالة التصحيح / التعرض، وليس استغلالًا. يقوم فقط بطلبات HTTP(S) GET للقراءة فقط، ولا يرسل أي حمولة SSRF أو حقن أوامر، ولا يقوم بأي محاولة مصادقة. لا يوجد إثبات مفهوم هنا.

ماذا يفعل

1. يجلب الصفحة الرئيسية للهدف عبر HTTPS.
2. يحدد ما إذا كان بوابة WorkPlace من نوع SonicWall SMA 1000 (Server: SMA/*، أصول __extraweb__، رابط مساعدة SMA 1000 Series).
3. يستخرج إصدار البرنامج الثابت الذي يعلنه الجهاز.
4. يقارنه بالإصدارات المصححة المنشورة من SonicWall ويُبلغ عن:
   • مصحح — الإصدار ≥ الإصدار المصحح لخطه.
   • متأثر — الإصدار < الإصدار المصحح (فقط عندما يكون الإصدار الدقيق مكشوفًا).
   • يحتمل أن يكون متأثرًا — على خط برنامج ثابت متأثر ولكن إصدار التصحيح الدقيق غير مكشوف خارجيًا (الحالة الشائعة — انظر القيد أدناه).
   • ليس SMA 1000 — الهدف لا يبدو بوابة WorkPlace من نوع SMA 1000.

الإصدارات المتأثرة / المصححة

المصدر: إشعار منتج SonicWall SNWLID-2026-0016. الأجهزة المتأثرة: SMA 1000 الطرازات 6210 و7210 و8200v.

قيد مهم (اقرأ هذا)

عادةً ما يعلن SMA 1000 عن خط major.minor.patch فقط (مثل 12.5.0) خارجيًا — وليس إصدار التصحيح الدقيق (مثل 12.5.0-02902). نظرًا لأن الإصدار المصحح (12.5.0-02952) يقع على نفس خط 12.5.0 مثل الإصدارات الضعيفة، فإن الهدف الذي يكشف فقط 12.5.0 لا يمكن تصنيفه كمصحح أو ضعيف من الخارج. في هذه الحالة تُرجع الأداة يحتمل أن يكون متأثرًا وتطلب منك تأكيد الإصدار الدقيق محليًا (وحدة تحكم الجهاز / AMC). نتيجة "يحتمل أن يكون متأثرًا" ليست دليلًا على الثغرة — فقد يكون الجهاز مصححًا بالفعل.

الاستخدام

يتطلب Python 3.8+ (المكتبة القياسية فقط — لا تبعيات).

# هدف واحد (تحقق من الشهادة)
python3 sma1000_detect.py vpn.example.com

# عبر IP مكشوف مع شهادة wildcard — تخطَّ التحقق من الشهادة
python3 sma1000_detect.py -k https://203.0.113.10

# عدة أهداف، مهلة مخصصة
python3 sma1000_detect.py -t 10 host-a.example.com host-b.example.com

مثال على المخرجات:

[?] يحتمل أن يكون متأثرًا  https://vpn.example.com
        Server: SMA/12.5
        الإصدار المُعلن: 12.5.0
        SMA 1000 على خط 12.5.0، لكن إصدار التصحيح الدقيق غير مكشوف
        خارجيًا. يحتوي هذا الخط على إصدارات ضعيفة (< 12.5.0-02952) ومصححة
        (>= 12.5.0-02952) معًا، لذا فإن حالة التصحيح غير محددة من الخارج. تحقق
        من الإصدار محليًا (وحدة تحكم الجهاز / AMC): تأكد أنه >= 12.5.0-02952.

رموز الخروج

المعالجة

قم بالترقية إلى 12.4.3-03526 أو 12.5.0-02952 (أو أحدث) وفقًا لتوصية SonicWall. نظرًا لأن هذه الثغرات تُستغل بنشاط في البرية، إذا كان الجهاز يعمل بإصدار ضعيف أثناء تعرضه للإنترنت، فتعامل معه على أنه ربما تعرض للاختراق: تحقق من مؤشرات الاختراق الخاصة بالبائع، وإذا وُجد أي منها، أعد تصوير الجهاز وأعد تعيين جميع كلمات مرور المستخدم/المسؤول وبيانات TOTP/MFA. قيّد وصول AMC / مستوى الإدارة على الشبكات الموثوقة فقط.

المراجع

• إشعار منتج SonicWall SNWLID-2026-0016
• CVE-2026-83548 — SSRF قبل المصادقة، واجهة SMA 1000 Work Place (CVSS 10.0)
• CVE-2026-83549 — حقن أوامر نظام التشغيل بعد المصادقة، AMC (CVSS 7.8)
• كتالوج الثغرات المستغلة المعروفة (KEV) من CISA

الاستخدام القانوني / المصرح به

هذه الأداة مخصصة للاختبار الأمني المصرح به والتحقق الدفاعي من التصحيح فقط. شغّلها فقط ضد الأنظمة التي تملكها أو لديك إذن كتابي صريح لاختبارها. قد يكون الفحص غير المصرح به غير قانوني. لا يتحمل المؤلفون أي مسؤولية عن سوء الاستخدام. مقدمة بموجب رخصة MIT — انظر LICENSE.