[1] CVE-2026-15409 | [2] CVE-2026-15410

SonicWall SMA1000 - SSRF → Erlang RCE → Root 권한 상승

익스플로잇 프레임워크 및 안전한 탐지 도구
승인된 보안 테스트 전용입니다.

⚖️ 법적 고지 및 책임 있는 사용

이 도구는 교육 및 승인된 침투 테스트 목적으로만 제공됩니다.

저자와 기여자는 이 소프트웨어로 인한 오용 또는 손해에 대해 책임을 지지 않습니다. 사용자는 테스트 전에 대상 소유자의 명시적인 서면 허가를 받았는지 확인할 전적인 책임이 있습니다. 컴퓨터 시스템에 대한 무단 접근은 CFAA(Computer Fraud and Abuse Act) 및 전 세계의 유사한 법률에 따라 불법입니다.

이 소프트웨어를 사용함으로써 귀하는 다음 사항에 동의합니다:

• 소유하거나 테스트에 대한 명시적 허가를 받은 시스템에서만 사용할 것.
• 적용 가능한 모든 지역, 주 및 연방 법률을 준수할 것.
• 악의적이거나 파괴적이거나 불법적인 활동에 사용하지 않을 것.

⚠️ 경고: 이 취약점은 실제 환경에서 적극적으로 악용되고 있습니다. 무단 사용은 심각한 법적 결과를 초래할 수 있습니다.

🔥 취약점 개요

CVE-2026-15409는 SonicWall SMA1000 어플라이언스 Work Place 인터페이스에서 발견된 치명적인 인증되지 않은 SSRF(Server-Side Request Forgery) 취약점입니다.

작동 방식:

1. 공격자는 SSRF를 악용하여 wsproxy 엔드포인트를 통해 터널링합니다.
2. 이를 통해 내부 Erlang 분산 서비스(포트 1050/8188)에 접근할 수 있습니다.
3. 하드코딩된 기본 쿠키를 사용하여 공격자는 Erlang 노드에 인증합니다.
4. os:cmd/1 호출을 통해 원격 코드 실행(RCE)이 달성됩니다.
5. 이후 CVE-2026-15410을 체인으로 연결하여 AMC(Appliance Management Console)의 경로 탐색(path traversal)을 통해 권한을 root로 상승시킵니다.

주요 사실:

• 📅 공개일: 2026년 7월 14일
• ⚠️ CVSS 점수: 10.0 (치명적)
• 📋 CISA KEV: 2026년 7월 14일 추가됨 (마감일: 2026년 7월 17일)
• 🎯 영향을 받는 제품: SMA 6210, SMA 7210, SMA 8200v
• 🔄 수정 버전: 12.4.3-03453+ 및 12.5.0-02835+

🛠️ 익스플로잇 프레임워크 (exploit.py)

완전한 무기화된 익스플로잇은 CVE-2026-15409와 CVE-2026-15410을 체인으로 연결하여 root 수준의 침해를 달성합니다.

✨ 기능:

📦 설치 및 요구 사항

사전 요구 사항:

• Python 3.6+
• pip (requests 라이브러리용)

종속성 설치:

pip install -r requirements.txt

[!] 참고: exploit.py는 수동 WebSocket 구현을 사용합니다 – websockets 라이브러리가 필요하지 않습니다. requests는 --detect 기능에만 필요합니다.

🚀 사용 예제

[2] 익스플로잇 프레임워크 (exploit.py)

# Interactive shell on target
python exploit.py -u 192.168.1.100

# Execute a single command
python exploit.py -u 192.168.1.100 --exec "id && whoami"

# Read a file
python exploit.py -u 192.168.1.100 --read-file /etc/passwd

# Enable SSRF detection before exploitation
python exploit.py -u 192.168.1.100 --detect

# Attempt root privesc
python exploit.py -u 192.168.1.100 --privesc

# Mass exploit from file (50 threads)
python exploit.py -l targets.txt -m 50 --exec "uname -a"

# Custom port and path
python exploit.py -u 10.0.0.5 -p 8443 --path /workplace

# Pipe mode (read command from stdin)
echo "cat /etc/hosts" | python exploit.py -u 192.168.1.100

[2] 안전한 검사기 (checker.py)

# Single target scan
python checker.py https://192.168.1.100

# Custom port and path
python checker.py 192.168.1.100 --port 8443 --path /workplace

# Mass scan from file
python checker.py --list targets.txt

🎯 영향을 받는 버전

⚠️ 중요: 이러한 취약점은 SonicWall 방화벽(SSL-VPN) 또는 SMA 100 시리즈에는 영향을 미치지 않습니다.

🧠 기술 심층 분석

SSRF (CVE-2026-15409)

포트 443의 wsproxy 엔드포인트는 -3389로 시작하는 bmID 매개변수와 host:port 지정을 허용합니다. host=127.0.0.1 및 port=1050을 지정하면 공격자는 내부 Erlang 분산 서비스로 터널링할 수 있습니다.

Erlang RPC

Erlang 노드는 하드코딩된 기본 쿠키 10ecad5b446e86864832904cd439b6b70262를 사용합니다. 이를 통해 원격 인증과 임의의 os:cmd/1 호출 실행이 가능합니다.

Root 권한 상승 (CVE-2026-15410)

인증 후 익스플로잇은 /var/tmp/에 셸 스크립트를 작성하고 경로 탐색(../../../../var/tmp/script.sh)과 함께 AMC remove_hotfix XML-RPC 엔드포인트를 트리거하여 스크립트를 root로 실행합니다.

🔍 침해 지표 (IoCs)

SonicWall은 다음을 확인할 것을 권장합니다:

• /__api__/login 또는 /__api__/logout에 대한 extraweb_access.log (200 상태)
• 의심스러운 host 매개변수가 있는 /wsproxy에 대한 extraweb_access.log (101 상태)
• 경로 탐색이 포함된 핫픽스 롤백에 대한 ctrl-service.log
• /__api__/login 또는 /__api__/logout에 대한 라우트를 포함하는 /var/lib/unit/conf.json

📚 참고 자료

• NVD - CVE-2026-15409
• SonicWall 보안 권고 (SNWLID-2026-0008)
• CISA KEV 카탈로그
• The Hacker News - SonicWall SMA 1000 제로데이 2건 악용됨