SonicWall SMA 1000 — CVE-2026-83548 / CVE-2026-83549 露出検出ツール

SonicWall Secure Mobile Access (SMA) 1000 シリーズのアプライアンスに影響する CVE-2026-83548（Work Place インターフェースにおける事前認証 SSRF、CVSS 10.0）および CVE-2026-83549（AMC における認証後 OS コマンドインジェクション、CVSS 7.8）を検出するための非侵襲型検出スクリプトです。これらは認証なしの RCE に連鎖される、活発に悪用されている 2 つのゼロデイです。

これはパッチ状態 / 露出チェックであり、エクスプロイトではありません。読み取り専用の HTTP(S) GET リクエストのみを実行し、SSRF やコマンドインジェクションのペイロードは一切送信せず、認証試行も行いません。ここに概念実証コードはありません。

機能

1. HTTPS 経由でターゲットのルートページを取得します。
2. SonicWall SMA 1000 WorkPlace ポータルかどうかをフィンガープリントします（Server: SMA/*、__extraweb__ アセット、SMA 1000 Series ヘルプリンク）。
3. アプライアンスが公開しているファームウェアバージョンを抽出します。
4. SonicWall が公開している修正済みビルドと比較し、以下を報告します:
   • PATCHED（修正済み） — ビルドがそのラインの修正ビルド以上。
   • AFFECTED（影響あり） — ビルドが修正ビルド未満（正確なビルドが公開されている場合のみ）。
   • POTENTIALLY AFFECTED（影響の可能性あり） — 影響を受けるファームウェアライン上にあるが、正確なホットフィックスビルドが外部に公開されていない場合（一般的なケース — 下記の制限事項を参照）。
   • NOT SMA 1000（SMA 1000 ではない） — ターゲットが SMA 1000 WorkPlace ポータルのように見えない。

影響を受ける / 修正済みバージョン

出典: SonicWall 製品通知 SNWLID-2026-0016。影響を受けるハードウェア: SMA 1000 モデル 6210、7210、8200v。

重要な制限事項（必読）

SMA 1000 は通常、外部にはメジャー.マイナー.パッチライン（例: 12.5.0）のみを公開し、正確なホットフィックスビルド（例: 12.5.0-02902）は公開しません。修正ビルド（12.5.0-02952）は脆弱なビルドと同じ 12.5.0 ライン上にあるため、外部から 12.5.0 のみを公開するターゲットは、修正済みか脆弱かを分類できません。その場合、ツールは POTENTIALLY AFFECTED（影響の可能性あり） を返し、正確なビルドをローカル（アプライアンスコンソール / AMC）で確認するよう指示します。「POTENTIALLY AFFECTED」の結果は脆弱性の証明ではありません — アプライアンスが修正済みである可能性もあります。

使用方法

Python 3.8+ が必要です（標準ライブラリのみ — 依存関係なし）。

# 単一ターゲット（証明書を検証）
python3 sma1000_detect.py vpn.example.com

# ワイルドカード証明書を持つベア IP — 証明書検証をスキップ
python3 sma1000_detect.py -k https://203.0.113.10

# 複数ターゲット、カスタムタイムアウト
python3 sma1000_detect.py -t 10 host-a.example.com host-b.example.com

出力例:

[?] POTENTIALLY AFFECTED  https://vpn.example.com
        Server: SMA/12.5
        Version advertised: 12.5.0
        SMA 1000 on the 12.5.0 line, but the exact hotfix build is not exposed
        externally. This line contains BOTH vulnerable (< 12.5.0-02952) and patched
        (>= 12.5.0-02952) builds, so patch state is UNDETERMINED from outside. Verify
        the build locally (appliance console / AMC): confirm it is >= 12.5.0-02952.

終了コード

修復

SonicWall のアドバイザリに従い、12.4.3-03526 または 12.5.0-02952（以降）にアップグレードしてください。これらの CVE は実環境で活発に悪用されているため、インターネットに露出した状態で脆弱なビルドが実行されていたアプライアンスは、侵害された可能性があるものとして扱ってください: ベンダーの侵害指標（IoC）を確認し、いずれかが存在する場合はアプライアンスを再イメージ化し、すべてのユーザー/管理者パスワードと TOTP/MFA 認証情報をリセットしてください。AMC / 管理プレーンへのアクセスは信頼できるネットワークのみに制限してください。

参考情報

• SonicWall 製品通知 SNWLID-2026-0016
• CVE-2026-83548 — 事前認証 SSRF、SMA 1000 Work Place インターフェース（CVSS 10.0）
• CVE-2026-83549 — 認証後 OS コマンドインジェクション、AMC（CVSS 7.8）
• CISA Known Exploited Vulnerabilities（KEV）カタログ

法的 / 許可された使用について

このツールは許可されたセキュリティテストおよび防御的なパッチ検証のみを目的としています。所有しているシステム、または明示的な書面によるテスト許可を得たシステムに対してのみ実行してください。許可のないスキャンは違法となる可能性があります。著者は誤用に対する責任を負いません。MIT ライセンスの下で提供されています — LICENSE を参照してください。