Este repositorio proporciona un PoC totalmente funcional que automatiza toda la cadena del exploit, desde el handshake WebSocket hasta la ejecución arbitraria de comandos, con una interfaz limpia, manejo avanzado de errores y un logging atractivo.

🔍 Características principales

• Túnel WebSocket – funciona directamente sobre wss:// mediante el endpoint wsproxy.
• Protocolo de distribución de Erlang – implementa por completo el handshake y el ETF (Erlang External Term Format).
• Ejecución remota de código – mediante os:cmd/1; puede leer archivos a través de file:read_file/1 o comprobar la conectividad con erlang:node/0.
• Detección inteligente – admite valores bmID arbitrarios (siempre que empiecen por -3389) y múltiples valores de serviceType.
• Registro completo – mensajes con códigos de color y símbolos [+], [*], [-], [!] para facilitar la monitorización.

🧬 Detalles de la vulnerabilidad

La vulnerabilidad se debe a las siguientes debilidades de diseño en el SMA 1000:

1. Proxy WebSocket sin restricciones – El endpoint /wsproxy reenvía mensajes WebSocket binarios a un puerto local de distribución de Erlang (localhost:1050 por defecto) sin la autenticación o autorización adecuadas.
2. Cookie Erlang predecible/hardcodeada – La cookie utilizada para la autenticación de distribución es estática en todos los dispositivos SMA (al menos en la versión probada). Esto permite que un atacante externo complete el handshake.
3. Nodo Erlang expuesto – El nodo Erlang [email protected] escucha en el puerto 1050 y acepta conexiones desde el proxy WebSocket, por lo que es accesible desde la red.
4. Interfaz RPC potente – El nodo Erlang ofrece el servicio estándar rex, que puede ejecutar funciones arbitrarias en el nodo, incluida os:cmd/1.

Versiones afectadas

• Serie SonicWall SMA 1000 con firmware anterior al hotfix de junio de 2026 (p. ej., ex_sra_vm_12.5.0-02002.ova).
• El servicio WorkPlace debe estar habilitado (configuración por defecto).

Impacto

• Ejecución remota de código como el usuario couchdb (UID 1010, grupo daemon).
• Movimiento lateral: un atacante puede aprovechar CVE-2026-15410 (XML‑RPC path traversal) para escalar privilegios a root.
• Exfiltración de datos: leer archivos arbitrarios mediante file:read_file/1.
• Persistencia: instalar backdoors o modificar archivos del sistema.

🔧 Requisitos de explotación

• Acceso de red al servicio WorkPlace del dispositivo SMA (normalmente TCP/443).
• No se requieren credenciales válidas: el exploit funciona sin autenticación.
• Python 3.8+ con la librería websockets (instálala con pip install websockets).

🚀 Uso

Instalación

Comando básico

Ejemplo de salida

Opciones avanzadas

🧪 Detalles técnicos para detección y ajuste

Cookie hardcodeada

La cookie Erlang utilizada en el exploit es:

Este valor es consistente en todos los dispositivos SMA probados y está hardcodeado en el proceso Erlang en localhost:1050. No es la misma cookie configurada por el usuario para el clustering.

El parámetro bmID

El bmID debe comenzar con -3389 (p. ej., -3389c1b25ccd). Se aceptan valores arbitrarios después del prefijo, por lo que la detección basada en firmas no debería depender de un hash fijo.

Tipos de servicio

Aunque el ejemplo utiliza serviceType=SSH, otros valores como TELNET también funcionan. El exploit es agnóstico al tipo de servicio.

Selección de puerto

El puerto 1050 es el puerto interno por defecto, pero también se han observado ataques reales dirigidos al puerto 8188. El exploit puede adaptarse a cualquier puerto que exponga el protocolo de distribución de Erlang.

Escalada de privilegios

Tras obtener una shell como couchdb, un atacante puede aprovechar CVE-2026-15410, un path traversal de XML‑RPC que permite eliminar el hotfix y, posteriormente, escalar privilegios a root.

🛡️ Detección y mitigación

Indicadores de compromiso (IoCs)

• Conexiones WebSocket inusuales a /wsproxy con bmID que comience con -3389.
• Conexiones salientes inesperadas desde el dispositivo SMA a IP externas.
• Procesos iniciados por el usuario couchdb (p. ej., bash, python, nc).
• Modificación o creación de archivos en /var/tmp/ por el usuario couchdb.

Acciones recomendadas

1. Aplicar el parche oficial de SonicWall (hotfix de junio de 2026) de inmediato.
2. Restringir el acceso al servicio WorkPlace únicamente a rangos de IP de confianza.
3. Supervisar los registros para detectar actividad WebSocket anómala e intentos de distribución de Erlang.
4. Cambiar la cookie Erlang del nodo Erlang interno (si es posible), aunque esto puede afectar a la funcionalidad de la aplicación.
5. Deshabilitar el servicio WorkPlace si no es necesario.

👏 Créditos

• Descubrimiento y PoC: Ch4120N.
• Investigación adicional: SonicWall PSIRT y la comunidad de seguridad en general.

📄 Licencia

Este proyecto está licenciado bajo la Licencia MIT; consulta el archivo LICENSE para más detalles.

Aviso legal: Esta herramienta es solo para fines educativos y de pruebas autorizadas. El autor y los colaboradores no son responsables del mal uso o de los daños causados por este software.

📚 Referencias

• Aviso de seguridad de SonicWall (CVE-2026-15409)
• Entrada NIST NVD – CVE-2026-15409

⭐ Soporte

Si te resulta útil este PoC, considera darle una ⭐ en GitHub y compartirlo de forma responsable. ¡Las contribuciones, los issues y las pull requests son bienvenidas!

¡Feliz hacking! 🛡️