[1] CVE-2026-15409 | [2] CVE-2026-15410

SonicWall SMA1000 - SSRF → Erlang RCE → Root Privesc

Exploit-Framework & sicheres Erkennungstool
Nur für autorisierte Sicherheitstests.

⚖️ Rechtliche Haftungsausschlüsse & Verantwortungsvoller Einsatz

Dieses Tool wird ausschließlich für Bildungszwecke und autorisierte Penetrationstests bereitgestellt.

Die Autoren und Mitwirkenden übernehmen keine Verantwortung für Missbrauch oder Schäden, die durch diese Software verursacht werden. Die Nutzer sind allein dafür verantwortlich, dass sie vor dem Testen die ausdrückliche schriftliche Erlaubnis des Eigentümers des Ziels eingeholt haben. Unbefugter Zugriff auf Computersysteme ist nach dem Computer Fraud and Abuse Act (CFAA) und ähnlichen Gesetzen weltweit illegal.

Durch die Nutzung dieser Software stimmst du Folgendem zu:

• Verwende es nur auf Systemen, die dir gehören oder für die du die ausdrückliche Erlaubnis zum Testen hast.
• Halte dich an alle geltenden lokalen, staatlichen und bundesrechtlichen Gesetze.
• Verwende es nicht für böswillige, zerstörerische oder illegale Aktivitäten.

⚠️ WARNUNG: Diese Schwachstelle wird derzeit aktiv ausgenutzt. Unbefugte Nutzung kann schwerwiegende rechtliche Konsequenzen haben.

🔥 Schwachstellenübersicht

CVE-2026-15409 ist eine kritische nicht authentifizierte Server-Side Request Forgery (SSRF)-Schwachstelle, die in der SonicWall SMA1000 Appliance Work Place-Schnittstelle entdeckt wurde.

So funktioniert es:

1. Ein Angreifer nutzt die SSRF aus, um durch den wsproxy-Endpunkt zu tunneln.
2. Dies gewährt Zugriff auf interne Erlang-Verteilungsdienste (Port 1050/8188).
3. Mit einem fest codierten Standard-Cookie authentifiziert sich der Angreifer am Erlang-Knoten.
4. Remote Code Execution (RCE) wird über os:cmd/1-Aufrufe erreicht.
5. CVE-2026-15410 wird dann verkettet, um die Berechtigungen über einen Path Traversal in der AMC (Appliance Management Console) auf root zu erhöhen.

Wichtige Fakten:

• 📅 Offengelegt: 14. Juli 2026
• ⚠️ CVSS-Score: 10.0 (KRITISCH)
• 📋 CISA KEV: Hinzugefügt am 14. Juli 2026 (Fälligkeitsdatum: 17. Juli 2026)
• 🎯 Betroffene Produkte: SMA 6210, SMA 7210, SMA 8200v
• 🔄 Behobene Versionen: 12.4.3-03453+ und 12.5.0-02835+

🛠️ Exploit-Framework (exploit.py)

Der vollständig einsatzbereite Exploit verkettet CVE-2026-15409 und CVE-2026-15410, um eine Kompromittierung auf Root-Ebene zu erreichen.

✨ Funktionen:

📦 Installation & Voraussetzungen

Voraussetzungen:

• Python 3.6+
• pip (für requests-Bibliothek)

Abhängigkeiten installieren:

pip install -r requirements.txt

[!] Hinweis: exploit.py verwendet eine manuelle WebSocket-Implementierung – keine websockets-Bibliothek erforderlich. requests wird nur für die --detect-Funktion benötigt.

🚀 Nutzungsbeispiele

[2] Exploit-Framework (exploit.py)

# Interaktive Shell auf dem Ziel
python exploit.py -u 192.168.1.100

# Einzelnen Befehl ausführen
python exploit.py -u 192.168.1.100 --exec "id && whoami"

# Datei lesen
python exploit.py -u 192.168.1.100 --read-file /etc/passwd

# SSRF-Erkennung vor dem Exploit aktivieren
python exploit.py -u 192.168.1.100 --detect

# Root-Privilegienerweiterung versuchen
python exploit.py -u 192.168.1.100 --privesc

# Massenexploit aus Datei (50 Threads)
python exploit.py -l targets.txt -m 50 --exec "uname -a"

# Benutzerdefinierter Port und Pfad
python exploit.py -u 10.0.0.5 -p 8443 --path /workplace

# Pipe-Modus (Befehl von stdin lesen)
echo "cat /etc/hosts" | python exploit.py -u 192.168.1.100

[2] Sicherheitschecker (checker.py)

# Einzelziel-Scan
python checker.py https://192.168.1.100

# Benutzerdefinierter Port und Pfad
python checker.py 192.168.1.100 --port 8443 --path /workplace

# Massen-Scan aus Datei
python checker.py --list targets.txt

🎯 Betroffene Versionen

⚠️ Wichtig: Diese Schwachstellen betreffen keine SonicWall-Firewalls (SSL-VPN) oder SMA 100 Serie.

🧠 Technischer Tiefgang

SSRF (CVE-2026-15409)

Der wsproxy-Endpunkt auf Port 443 akzeptiert einen bmID-Parameter, der mit -3389 beginnt, und eine host:port-Spezifikation. Indem Angreifer host=127.0.0.1 und port=1050 angeben, können sie zum internen Erlang-Verteilungsdienst tunneln.

Erlang RPC

Der Erlang-Knoten verwendet ein fest codiertes Standard-Cookie: 10ecad5b446e86864832904cd439b6b70262. Dies ermöglicht die entfernte Authentifizierung und Ausführung beliebiger os:cmd/1-Aufrufe.

Root Privesc (CVE-2026-15410)

Nach der Authentifizierung schreibt der Exploit ein Shell-Skript nach /var/tmp/ und löst den AMC remove_hotfix XML-RPC-Endpunkt mit einem Path Traversal (../../../../var/tmp/script.sh) aus, wodurch das Skript als root ausgeführt wird.

🔍 Indikatoren für eine Kompromittierung (IoCs)

SonicWall empfiehlt, Folgendes zu überprüfen:

• extraweb_access.log nach /__api__/login oder /__api__/logout (Status 200)
• extraweb_access.log nach /wsproxy mit verdächtigen Host-Parametern (Status 101)
• ctrl-service.log nach Hotfix-Rollbacks mit Path Traversal
• /var/lib/unit/conf.json mit Routen für /__api__/login oder /__api__/logout

📚 Referenzen

• NVD - CVE-2026-15409
• SonicWall Advisory (SNWLID-2026-0008)
• CISA KEV-Katalog
• The Hacker News - Zwei SonicWall SMA 1000 Zero-Day-Lücken ausgenutzt