[1] CVE-2026-15409 | [2] CVE-2026-15410

SonicWall SMA1000 - SSRF → Erlang RCE → Root Privesc

Framework di Exploit & Strumento di Rilevamento Sicuro

[!] Solo per Uso Etico - Test Autorizzati

Questo repository fornisce strumenti esclusivamente per professionisti della sicurezza autorizzati, blue team e penetration tester.

L'accesso non autorizzato a sistemi informatici è illegale ai sensi del **CFAA (USA), Computer Misuse Act (Regno Unito), TCK 243/244 (Turchia) e leggi simili in tutto il mondo.

---

[>] Panoramica della Vulnerabilità

CVE-2026-15409 è una vulnerabilità critica di Server-Side Request Forgery (SSRF) non autenticata scoperta nell'interfaccia Appliance Work Place del SonicWall SMA1000.

Come funziona:

1. Un attaccante sfrutta la SSRF per effettuare un tunnel attraverso l'endpoint wsproxy.
2. Questo concede l'accesso ai servizi interni di distribuzione Erlang (porta 1050/8188).
3. Utilizzando un cookie predefinito hardcoded, l'attaccante si autentica al nodo Erlang.
4. L'esecuzione remota di codice (RCE) viene ottenuta tramite chiamate os:cmd/1.
5. CVE-2026-15410 viene poi concatenata per escalare i privilegi a root tramite un path traversal nell'AMC (Appliance Management Console).

Fatti Chiave:

• Divulgata: 14 luglio 2026

• Punteggio CVSS: 10.0 (CRITICO)

• !> CISA KEV: Aggiunta il 14 luglio 2026 (Scadenza: 17 luglio 2026)

• Prodotti Affetti: SMA 6210, SMA 7210, SMA 8200v

• Versioni Corrette: 12.4.3-03453+ e 12.5.0-02835+

---

[<>] Framework di Exploit (exploit.py)

L'exploit completo weaponized concatena CVE-2026-15409 e CVE-2026-15410 per ottenere la compromissione a livello root.

[<>] Caratteristiche:

Caratteristica	Descrizione
[+] SSRF → Erlang RPC	Effettua automaticamente un tunnel attraverso wsproxy per raggiungere i nodi Erlang interni.
[+] Esecuzione Remota di Codice	Esegue comandi OS arbitrari tramite os:cmd/1.
[+] Shell Interattiva	Avvia una shell live con supporto per i comandi privesc e download.
[+] Root Privesc	Sfrutta CVE-2026-15410 per escalare a root tramite path traversal nell'AMC.
[+] Operazioni su File	Legge e scrive file sul sistema target.
[+] Scansione Batch	Sfrutta in massa più target con threading (flag -l).
[+] Rilevamento SSRF	Flag opzionale --detect per la verifica sicura della vulnerabilità.
[+] Personalizzabile	Sovrascrive URL WebSocket, Origin, User-Agent, Cookie e altro.
[+] Nessuna Dipendenza Extra	Utilizza solo la libreria standard di Python (tranne requests opzionale per il rilevamento).
[+] Implementazione WebSocket Raw	Nessuna libreria WebSocket esterna — handshake personalizzato a livello socket evita fingerprint di firma specifici delle librerie per un migliore OPSEC.

---

[>>] Installazione & Requisiti

Prerequisiti:

• Python 3.6+
• pip (per la libreria requests)

Installa le dipendenze:

pip install -r requirements.txt

[!] Nota: exploit.py utilizza un'implementazione WebSocket manuale – nessuna libreria websockets richiesta. requests è necessario solo per la funzionalità --detect.

[i] Esempi di Utilizzo

[2] Framework di Exploit (exploit.py)

# Interactive shell on target
python exploit.py -u 192.168.1.100

# Execute a single command
python exploit.py -u 192.168.1.100 --exec "id && whoami"

# Read a file
python exploit.py -u 192.168.1.100 --read-file /etc/passwd

# Enable SSRF detection before exploitation
python exploit.py -u 192.168.1.100 --detect

# Attempt root privesc
python exploit.py -u 192.168.1.100 --privesc

# Mass exploit from file (50 threads)
python exploit.py -l targets.txt -m 50 --exec "uname -a"

# Custom port and path
python exploit.py -u 10.0.0.5 -p 8443 --path /workplace

# Pipe mode (read command from stdin)
echo "cat /etc/hosts" | python exploit.py -u 192.168.1.100

[2] Checker Sicuro (checker.py)

# Single target scan
python checker.py https://192.168.1.100

# Custom port and path
python checker.py 192.168.1.100 --port 8443 --path /workplace

# Mass scan from file
python checker.py --list targets.txt

[i] Versioni Affette

Prodotto	Versioni Vulnerabili	Versioni Corrette
SMA 6210	12.4.3-03245, 12.4.3-03387, 12.4.3-03434 12.5.0-02283, 12.5.0-02624, 12.5.0-02800	12.4.3-03453+ 12.5.0-02835+
SMA 7210	Come sopra	Come sopra
SMA 8200v	Come sopra	Come sopra

[!] Importante: Queste vulnerabilità non interessano i firewall SonicWall (SSL-VPN) o la Serie SMA 100.

---

[<>] Analisi Tecnica Approfondita

SSRF (CVE-2026-15409)

L'endpoint wsproxy sulla porta 443 accetta un parametro bmID che inizia con -3389 e una specifica host:port. Impostando host=127.0.0.1 e port=1050, gli attaccanti possono effettuare un tunnel verso il servizio interno di distribuzione Erlang.

Erlang RPC

Il nodo Erlang utilizza un cookie predefinito hardcoded: 10ecad5b446e86864832904cd439b6b70262. Questo consente l'autenticazione remota e l'esecuzione di qualsiasi chiamata os:cmd/1.

Root Privesc (CVE-2026-15410)

Una volta autenticato, l'exploit scrive uno script shell in /var/tmp/ e attiva l'endpoint XML-RPC remove_hotfix dell'AMC con un path traversal (../../../../var/tmp/script.sh), eseguendo lo script come root.

---

[+] Indicatori di Compromissione (IoCs)

SonicWall raccomanda di controllare:

• extraweb_access.log per /__api__/login o /__api__/logout (stato 200)
• extraweb_access.log per /wsproxy con parametri host sospetti (stato 101)
• ctrl-service.log per rollback di hotfix con path traversal
• /var/lib/unit/conf.json contenente route per /__api__/login o /__api__/logout

---

[¡] Disclaimer Legale & Uso Responsabile

Questo strumento è fornito esclusivamente per scopi educativi e di penetration testing autorizzato.

Gli autori e i contributori non sono responsabili per qualsiasi uso improprio o danno causato da questo software. Gli utenti sono gli unici responsabili di assicurarsi di avere il permesso scritto esplicito dal proprietario del target prima di testare. L'accesso non autorizzato a sistemi informatici è illegale ai sensi del Computer Fraud and Abuse Act (CFAA) e leggi simili in tutto il mondo.