यह रिपॉजिटरी एक पूर्ण रूप से कार्यशील PoC प्रदान करता है जो संपूर्ण एक्सप्लॉइट श्रृंखला को स्वचालित करता है – WebSocket हैंडशेक से लेकर मनमाने कमांड निष्पादन तक – साफ इंटरफेस, उन्नत त्रुटि प्रबंधन और बेहतरीन लॉगिंग के साथ।

🔍 मुख्य विशेषताएँ

• WebSocket टनलिंग – wsproxy एंडपॉइंट का उपयोग करके सीधे wss:// पर काम करता है।
• Erlang डिस्ट्रीब्यूशन प्रोटोकॉल – हैंडशेक और ETF (Erlang एक्सटर्नल टर्म फॉर्मेट) को पूरी तरह लागू करता है।
• रिमोट कोड निष्पादन – os:cmd/1 के माध्यम से; file:read_file/1 के माध्यम से फ़ाइलें पढ़ सकता है या erlang:node/0 के साथ कनेक्टिविटी का परीक्षण कर सकता है।
• बुद्धिमान पहचान – मनमाने bmID मानों (जब तक वे -3389 से शुरू होते हैं) और कई serviceType मानों का समर्थन करता है।
• व्यापक लॉगिंग – आसान निगरानी के लिए [+], [*], [-], [!] प्रतीकों के साथ रंग-कोडित संदेश।

🧬 भेद्यता विवरण

यह भेद्यता SMA 1000 में निम्नलिखित डिज़ाइन कमजोरियों से उत्पन्न होती है:

1. अप्रतिबंधित WebSocket प्रॉक्सिंग – /wsproxy एंडपॉइंट बाइनरी WebSocket संदेशों को उचित प्रमाणीकरण या प्राधिकरण के बिना स्थानीय Erlang डिस्ट्रीब्यूशन पोर्ट (डिफ़ॉल्ट रूप से localhost:1050) पर अग्रेषित करता है।
2. पूर्वानुमानित/हार्डकोडेड Erlang कुकी – डिस्ट्रीब्यूशन प्रमाणीकरण के लिए उपयोग की जाने वाली कुकी सभी SMA उपकरणों में स्थिर है (कम से कम परीक्षण किए गए संस्करण में)। यह एक बाहरी हमलावर को हैंडशेक पूरा करने की अनुमति देता है।
3. उजागर Erlang नोड – Erlang नोड [email protected] पोर्ट 1050 पर सुनता है और WebSocket प्रॉक्सी से कनेक्शन स्वीकार करता है, जिससे यह नेटवर्क से पहुंच योग्य हो जाता है।
4. शक्तिशाली RPC इंटरफेस – Erlang नोड मानक rex सेवा प्रदान करता है, जो नोड पर मनमाने फ़ंक्शन निष्पादित कर सकती है, जिसमें os:cmd/1 शामिल है।

प्रभावित संस्करण

• जून 2026 हॉटफिक्स से पहले के फर्मवेयर वाली SonicWall SMA 1000 सीरीज़ (जैसे, ex_sra_vm_12.5.0-02002.ova)।
• WorkPlace सेवा सक्षम होनी चाहिए (डिफ़ॉल्ट कॉन्फ़िगरेशन)।

प्रभाव

• रिमोट कोड निष्पादन couchdb उपयोगकर्ता (UID 1010, ग्रुप daemon) के रूप में।
• पार्श्व गति (Lateral movement) – एक हमलावर रूट तक विशेषाधिकार बढ़ाने के लिए CVE-2026-15410 (XML-RPC पाथ ट्रैवर्सल) का लाभ उठा सकता है।
• डेटा निष्कासन – file:read_file/1 के माध्यम से मनमानी फ़ाइलें पढ़ना।
• स्थायित्व (Persistence) – बैकडोर स्थापित करना या सिस्टम फ़ाइलों को संशोधित करना।

🔧 एक्सप्लॉइटेशन आवश्यकताएँ

• SMA उपकरण की WorkPlace सेवा तक नेटवर्क पहुंच (आमतौर पर TCP/443)।
• कोई वैध क्रेडेंशियल आवश्यक नहीं हैं – एक्सप्लॉइट बिना प्रमाणीकरण के काम करता है।
• websockets लाइब्रेरी के साथ Python 3.8+ (pip install websockets के माध्यम से इंस्टॉल करें)।

🚀 उपयोग

इंस्टॉलेशन

बेसिक कमांड

उदाहरण आउटपुट

░█▀▀░█░█░█▀▀░░░░░▀▀▄░▄▀▄░▀▀▄░▄▀▀░░░░░▀█░░█▀▀░█░█░▄▀▄░▄▀▄ ░█░░░▀▄▀░█▀▀░▄▄▄░▄▀░░█/█░▄▀░░█▀▄░▄▄▄░░█░░▀▀▄░░▀█░█/█░░▀█ ░▀▀▀░░▀░░▀▀▀░░░░░▀▀▀░░▀░░▀▀▀░░▀░░░░░░▀▀▀░▀▀░░░░▀░░▀░░▀▀░ [CVE-2026-15409] Erlang Distribution RCE via WebSocket Proxy Owner: Ch4120N

[ * ] Connecting via WebSocket to wss://192.168.56.102/wsproxy?bmID=-3389c1b25ccd&serviceType=SSH&host=0.0.0.0&port=1050 [ * ] Preparing RPC: os:cmd('whoami && id && pwd && hostname') [ + ] Authenticated to [email protected] [ * ] Calling os:cmd/1 ... [ + ] RPC call completed [ * ] Peer name: [email protected] [ * ] Peer flags: 0xd07df7fbd [ * ] Peer creation: 1784069352 [ + ] Command output: couchdb uid=1010(couchdb) gid=1(daemon) groups=1(daemon) /opt/couchdb SMAAppliance.sma

उन्नत विकल्प

🧪 डिटेक्शन और ट्यूनिंग के लिए तकनीकी विवरण

हार्डकोडेड कुकी

एक्सप्लॉइट में उपयोग की जाने वाली Erlang कुकी है:

यह मान सभी परीक्षण किए गए SMA उपकरणों में स्थिर है और localhost:1050 पर Erlang प्रोसेस में हार्डकोडेड है। यह क्लस्टरिंग के लिए उपयोगकर्ता-कॉन्फ़िगर की गई कुकी के समान नहीं है।

bmID पैरामीटर

bmID को -3389 से शुरू होना चाहिए (जैसे, -3389c1b25ccd)। प्रीफिक्स के बाद मनमाने मान स्वीकार किए जाते हैं, इसलिए सिग्नेचर-आधारित डिटेक्शन को निश्चित हैश पर निर्भर नहीं रहना चाहिए।

सेवा प्रकार

जबकि उदाहरण serviceType=SSH का उपयोग करता है, TELNET जैसे अन्य मान भी काम करते हैं। एक्सप्लॉइट सेवा प्रकार के प्रति अज्ञेय (agnostic) है।

पोर्ट चयन

पोर्ट 1050 डिफ़ॉल्ट आंतरिक पोर्ट है, लेकिन वास्तविक दुनिया में पोर्ट 8188 को लक्षित करने वाले हमले भी देखे गए हैं। एक्सप्लॉइट को किसी भी पोर्ट के लिए अनुकूलित किया जा सकता है जो Erlang डिस्ट्रीब्यूशन प्रोटोकॉल को उजागर करता है।

विशेषाधिकार वृद्धि (Privilege Escalation)

couchdb के रूप में शेल प्राप्त करने के बाद, एक हमलावर CVE-2026-15410 का लाभ उठा सकता है – एक XML-RPC पाथ ट्रैवर्सल जो हॉटफिक्स को हटाने और उसके बाद रूट विशेषाधिकार वृद्धि की अनुमति देता है।

🛡️ डिटेक्शन और शमन

समझौता संकेतक (Indicators of Compromise – IoCs)

• -3389 से शुरू होने वाले bmID के साथ /wsproxy के लिए असामान्य WebSocket कनेक्शन।
• SMA उपकरण से बाहरी IP पतों के लिए अप्रत्याशित आउटबाउंड कनेक्शन।
• couchdb उपयोगकर्ता द्वारा शुरू की गई प्रोसेस (जैसे, bash, python, nc)।
• couchdb उपयोगकर्ता द्वारा /var/tmp/ में फ़ाइलों का संशोधन या निर्माण।

अनुशंसित कार्रवाइयाँ

1. SonicWall का आधिकारिक पैच (जून 2026 हॉटफिक्स) तुरंत लागू करें।
2. WorkPlace सेवा तक पहुंच को केवल विश्वसनीय IP रेंज तक सीमित करें।
3. असामान्य WebSocket गतिविधि और Erlang डिस्ट्रीब्यूशन प्रयासों के लिए लॉग की निगरानी करें।
4. आंतरिक Erlang नोड के लिए Erlang कुकी बदलें (यदि संभव हो) – हालाँकि इससे एप्लिकेशन कार्यक्षमता प्रभावित हो सकती है।
5. यदि आवश्यक न हो तो WorkPlace सेवा को अक्षम करें।

👏 श्रेय

• खोज और PoC: Ch4120N।
• अतिरिक्त शोध: SonicWall PSIRT और व्यापक सुरक्षा समुदाय।

📄 लाइसेंस

यह प्रोजेक्ट MIT लाइसेंस के तहत लाइसेंस प्राप्त है – विवरण के लिए LICENSE फ़ाइल देखें।

अस्वीकरण: यह टूल केवल शैक्षिक और अधिकृत परीक्षण उद्देश्यों के लिए है। इस सॉफ़्टवेयर के किसी भी दुरुपयोग या क्षति के लिए लेखक और योगदानकर्ता जिम्मेदार नहीं हैं।

📚 संदर्भ

• SonicWall Security Advisory (CVE-2026-15409)
• NIST NVD Entry – CVE-2026-15409

⭐ समर्थन

यदि आपको यह PoC उपयोगी लगता है, तो कृपया इसे GitHub पर ⭐ देने और इसे जिम्मेदारी से साझा करने पर विचार करें। योगदान, मुद्दे और पुल रिक्वेस्ट का स्वागत है!

हैप्पी हैकिंग! 🛡️