このリポジトリは、WebSocket ハンドシェイクから任意のコマンド実行までのエクスプロイトチェーン全体を自動化する 完全に機能する PoC を提供します。クリーンなインターフェース、高度なエラー処理、見やすいログ出力を備えています。

🔍 主な特徴

• WebSocket トンネリング – wsproxy エンドポイントを使用して wss:// 上で直接動作します。
• Erlang 分散プロトコル – ハンドシェイクと ETF（Erlang External Term Format）を完全に実装します。
• リモートコード実行 – os:cmd/1 を介して実行します。file:read_file/1 でファイルを読み取ったり、erlang:node/0 で接続をテストしたりできます。
• インテリジェントな検出 – 任意の bmID 値（-3389 で始まる限り）と複数の serviceType 値をサポートします。
• 包括的なログ出力 – [+]、[*]、[-]、[!] 記号を使用した色分けメッセージで、簡単に監視できます。

🧬 脆弱性の詳細

この脆弱性は、SMA 1000 の以下の設計上の弱点に起因します。

1. 無制限の WebSocket プロキシ – /wsproxy エンドポイントは、適切な認証や認可を行わずに、バイナリ WebSocket メッセージをローカルの Erlang 分散ポート（デフォルトでは localhost:1050）に転送します。
2. 予測可能/ハードコードされた Erlang Cookie – 分散認証に使用される Cookie は、すべての SMA アプライアンス（少なくともテスト済みのバージョン）で静的です。これにより、外部の攻撃者がハンドシェイクを完了できます。
3. 公開された Erlang ノード – Erlang ノード [email protected] がポート 1050 でリッスンし、WebSocket プロキシからの接続を受け入れるため、ネットワークから到達可能です。
4. 強力な RPC インターフェース – Erlang ノードは標準の rex サービスを提供しており、これを使用してノード上の任意の関数（os:cmd/1 を含む）を実行できます。

影響を受けるバージョン

• 2026 年 6 月のホットフィックスより前のファームウェアを搭載した SonicWall SMA 1000 シリーズ（例：ex_sra_vm_12.5.0-02002.ova）。
• WorkPlace サービスが有効である必要があります（デフォルト設定）。

影響

• リモートコード実行 – couchdb ユーザー（UID 1010、グループ daemon）として実行されます。
• ラテラルムーブメント（横展開） – 攻撃者は CVE-2026-15410（XML‑RPC パストラバーサル）を悪用して root への権限昇格が可能です。
• データの外部流出 – file:read_file/1 を使用して任意のファイルを読み取ります。
• 永続化 – バックドアのインストールやシステムファイルの改変が可能です。

🔧 エクスプロイトの要件

• SMA アプライアンスの WorkPlace サービスへのネットワークアクセス（通常は TCP/443）。
• 有効な認証情報は不要 – エクスプロイトは未認証で動作します。
• websockets ライブラリを備えた Python 3.8+（pip install websockets でインストール）。

🚀 使用方法

インストール

基本コマンド

出力例

詳細オプション

🧪 検知とチューニングのための技術詳細

ハードコードされた Cookie

エクスプロイトで使用される Erlang Cookie は次のとおりです：

この値は、テストしたすべての SMA アプライアンスで一貫しており、localhost:1050 の Erlang プロセスにハードコードされています。クラスタリング用にユーザーが設定した Cookie とは異なります。

bmID パラメータ

bmID は -3389 で始まる必要があります（例：-3389c1b25ccd）。プレフィックス以降の任意の値が受け入れられるため、シグネチャベースの検知は固定ハッシュに依存すべきではありません。

サービスタイプ

この例では serviceType=SSH を使用していますが、TELNET などの他の値でも動作します。エクスプロイトはサービスタイプに依存しません。

ポートの選択

ポート 1050 がデフォルトの内部ポートですが、実際の攻撃ではポート 8188 を標的にすることも確認されています。エクスプロイトは、Erlang 分散プロトコルを公開する任意のポートに適応できます。

権限昇格

couchdb としてシェルを取得した後、攻撃者は CVE-2026-15410 を悪用できます。これは XML‑RPC パストラバーサルで、ホットフィックスの削除とその後の root 権限昇格を可能にします。

🛡️ 検知と緩和策

侵害の指標（IoC）

• -3389 で始まる bmID を使用した /wsproxy への不審な WebSocket 接続。
• SMA アプライアンスから外部 IP への予期しない送信接続。
• couchdb ユーザーによって生成されたプロセス（例：bash、python、nc）。
• couchdb ユーザーによる /var/tmp/ 内のファイルの変更または作成。

推奨される対策

1. SonicWall の公式パッチ（2026 年 6 月のホットフィックス）を直ちに適用してください。
2. WorkPlace サービスへのアクセスを信頼できる IP 範囲のみに制限してください。
3. 異常な WebSocket アクティビティと Erlang 分散の試行についてログを監視してください。
4. 内部 Erlang ノードの Erlang Cookie を変更してください（可能な場合）– ただし、アプリケーションの機能に影響を与える可能性があります。
5. 不要な場合は WorkPlace サービスを無効にしてください。

👏 クレジット

• 発見 & PoC：Ch4120N。
• 追加調査：SonicWall PSIRT およびセキュリティコミュニティ全体。

📄 ライセンス

このプロジェクトは MIT ライセンスの下でライセンスされています。詳細は LICENSE ファイルを参照してください。

免責事項：このツールは教育および許可されたテスト目的のみに使用されます。作者および貢献者は、本ソフトウェアの誤用またはそれによって引き起こされた損害について責任を負いません。

📚 参考文献

• SonicWall Security Advisory（CVE-2026-15409）
• NIST NVD Entry – CVE-2026-15409

⭐ サポート

この PoC が役立つと思われた場合は、GitHub で ⭐ を付けて、責任を持って共有することをご検討ください。コントリビューション、問題報告、プルリクエストを歓迎します！

ハッピーハッキング！ 🛡️