CVE-2026-83548 — SSRF pre-autenticación en SonicWall SMA1000 Work Place

Herramienta de un solo archivo (Python 3, solo biblioteca estándar, sin dependencias) para evaluar y explotar el SSRF de pre-autenticación en la interfaz Work Place de los dispositivos SonicWall SMA1000 (6210 / 7210 / 8200v), incluida una cadena oportunista hacia RCE no autenticado mediante CVE-2026-83549.

La vulnerabilidad

CVE	CVE-2026-83548 (SSRF, CWE-918/CWE-441), CVSS 10.0
Cadena	CVE-2026-83549 — inyección de comandos del SO en el AMC (post-autenticación), eludida a través del SSRF
Mecanismo	La interfaz Work Place actúa como un proxy de reenvío no intencionado: el dispositivo reenvía solicitudes manipuladas a recursos internos (incluido el AMC) usando su propia posición de red privilegiada, sin requerir autenticación en ninguna etapa
Afectados	SMA1000 ≤ 12.4.3-03453 y ≤ 12.5.0-02835
Corregido	12.4.3-03526 / 12.5.0-02952 (aviso de SonicWall SNWLID-2026-0016)
Estado	Explotada activamente en el mundo real; CISA KEV desde 2026-09-02; sin solución alternativa — solo parchear

Qué hace la herramienta (etapas)

• [A] Fingerprint + estado de parcheo — GET de solo lectura de la raíz del portal Work Place: banner Server: SMA/*, recursos __extraweb__, versión a partir de enlaces de ayuda; clasificación frente a las compilaciones corregidas (PATCHED / AFFECTED / POTENTIALLY_AFFECTED / NOT_SMA1000).
• [B] Sondeo de vectores SSRF — prueba un conjunto candidato de vectores de activación de SSRF (incluida la ruta de retransmisión /cgi-bin/ y la forma de proxy de reenvío "URI absoluta como ruta") y puntúa las anomalías frente a una línea base: cambio de código de estado, delta de latencia, nuevas cabeceras de respuesta, delta del cuerpo. Los vectores proporcionados por el operador se aceptan mediante --vector (repetible).
• [C] Confirmación fuera de banda — levanta un listener de captura local y apunta el mejor vector hacia él. Una solicitud capturada (método/cabeceras/User-Agent reenviado) demuestra que el dispositivo reenvió la solicitud — la vulnerabilidad real, no un artefacto de temporización.
• [D] Cadena RCE (CVE-2026-83549) — intento oportunista de inyección de comandos contra el AMC a través del relé SSRF confirmado, con exfiltración de un marcador mediante curl/wget/nc. La confirmación requiere una captura fuera de banda.

Inicio rápido

# Fingerprint / patch-state only (read-only)
python3 exploit_cve_2026_83548.py --fingerprint-only vpn.example.com

# Full pass: vector probing + out-of-band SSRF confirmation
python3 exploit_cve_2026_83548.py --listen --attacker-ip <your_visible_IP> \
    --oob-timeout 5 vpn.example.com

# + RCE chain attempt (default command: id)
python3 exploit_cve_2026_83548.py --listen --attacker-ip <your_visible_IP> --rce \
    --rce-cmd 'id' vpn.example.com

# Known vector (bypasses the default candidate set), JSON report
python3 exploit_cve_2026_83548.py --json --skip-probe \
    --vector 'POST:/cgi-bin/:url={T}' --listen --attacker-ip <your_visible_IP> \
    -k -t 10 203.0.113.10

# Multiple targets in sequence (exit code = worst verdict)
python3 exploit_cve_2026_83548.py --listen --attacker-ip <your_visible_IP> \
    vpn-a.example.com vpn-b.example.com

--attacker-ip — la IP desde la cual el appliance debe poder alcanzar tu listener de captura (127.0.0.1 para comprobaciones locales; una dirección visible en la red más reenvío de puertos para remoto). Sin ella, la herramienta adivina una IP local, lo que a menudo no funciona dentro de configuraciones de contenedores/VPN.

Códigos de salida

Código	Significado
0	parcheado / no afectado
1	afectado por versión, o SSRF confirmado, o línea de firmware afectada con build exacto indeterminado
2	RCE no autenticado confirmado (cadena exitosa)
3	el objetivo no es un portal SMA1000 Work Place
4	error de conexión/otro error

Limitaciones (lee esto)

1. La etapa D es oportunista: la confirmación requiere una captura fuera de banda; la ausencia de una no es una refutación.
2. La captura OOB requiere que el appliance pueda alcanzar tu listener (misma L2 / reenvío de puertos / VPN). Un tiempo de espera de captura ≠ SSRF refutado.
3. Veredicto de versión: el appliance normalmente solo expone su línea de firmware (p. ej. 12.5.0) externamente, no el build exacto del hotfix — el resultado habitual es POTENTIALLY_AFFECTED, lo que requiere confirmar el build en el propio appliance.
4. Las etapas B–D envían solicitudes al objetivo por diseño; úsalas solo contra hosts que poseas o tengas permiso explícito de probar.

https://satoshidisk.com/pay/CShhL9