Este repositório fornece uma PoC totalmente funcional que automatiza toda a cadeia de exploração – do handshake WebSocket à execução de comandos arbitrários – com uma interface limpa, tratamento avançado de erros e logging bem formatado.

🔍 Principais Recursos

• Tunelamento WebSocket – funciona diretamente sobre wss:// usando o endpoint wsproxy.
• Protocolo de distribuição Erlang – implementa completamente o handshake e o ETF (Erlang External Term Format).
• Execução remota de código – via os:cmd/1; pode ler arquivos via file:read_file/1 ou testar a conectividade com erlang:node/0.
• Detecção inteligente – suporta valores arbitrários de bmID (desde que comecem com -3389) e múltiplos valores de serviceType.
• Logging abrangente – mensagens coloridas com os símbolos [+], [*], [-], [!] para facilitar o monitoramento.

🧬 Detalhes da Vulnerabilidade

A vulnerabilidade decorre das seguintes fraquezas de design no SMA 1000:

1. Proxy WebSocket irrestrito – O endpoint /wsproxy encaminha mensagens WebSocket binárias para uma porta local de distribuição Erlang (localhost:1050 por padrão) sem autenticação ou autorização adequadas.
2. Cookie Erlang previsível/fixo (hardcoded) – O cookie usado para autenticação de distribuição é estático em todos os appliances SMA (pelo menos na versão testada). Isso permite que um atacante externo conclua o handshake.
3. Nó Erlang exposto – O nó Erlang [email protected] escuta na porta 1050 e aceita conexões do proxy WebSocket, tornando-o alcançável a partir da rede.
4. Interface RPC poderosa – O nó Erlang oferece o serviço padrão rex, que pode executar funções arbitrárias no nó, incluindo os:cmd/1.

Versões Afetadas

• Série SonicWall SMA 1000 com firmware anterior ao hotfix de junho de 2026 (ex.: ex_sra_vm_12.5.0-02002.ova).
• O serviço WorkPlace deve estar habilitado (configuração padrão).

Impacto

• Execução Remota de Código como o usuário couchdb (UID 1010, grupo daemon).
• Movimentação lateral – um atacante pode explorar o CVE-2026-15410 (path traversal em XML-RPC) para elevar privilégios para root.
• Exfiltração de dados – ler arquivos arbitrários via file:read_file/1.
• Persistência – instalar backdoors ou modificar arquivos do sistema.

🔧 Requisitos de Exploração

• Acesso de rede ao serviço WorkPlace do appliance SMA (normalmente TCP/443).
• Nenhuma credencial válida é necessária – o exploit funciona sem autenticação.
• Python 3.8+ com a biblioteca websockets (instale via pip install websockets).

🚀 Uso

Instalação

Comando Básico

Exemplo de Saída

Opções Avançadas

🧪 Detalhes Técnicos para Detecção e Ajuste

Cookie Fixo (Hardcoded)

O cookie Erlang usado no exploit é:

Este valor é consistente em todos os appliances SMA testados e está fixo (hardcoded) no processo Erlang em localhost:1050. Ele não é o mesmo cookie configurado pelo usuário para clustering.

O Parâmetro bmID

O bmID deve começar com -3389 (ex.: -3389c1b25ccd). Valores arbitrários após o prefixo são aceitos; portanto, a detecção baseada em assinatura não deve depender de um hash fixo.

Tipos de Serviço

Embora o exemplo use serviceType=SSH, outros valores como TELNET também funcionam. O exploit é agnóstico quanto ao tipo de serviço.

Seleção de Porta

A porta 1050 é a porta interna padrão, mas ataques reais já foram observados visando também a porta 8188. O exploit pode ser adaptado para qualquer porta que exponha o protocolo de distribuição Erlang.

Escalação de Privilégios

Após obter um shell como couchdb, um atacante pode explorar o CVE-2026-15410 – um path traversal em XML-RPC que permite a remoção do hotfix e a subsequente escalada de privilégios para root.

🛡️ Detecção e Mitigação

Indicadores de Comprometimento (IoCs)

• Conexões WebSocket incomuns para /wsproxy com bmID começando com -3389.
• Conexões de saída inesperadas do appliance SMA para IPs externos.
• Processos iniciados pelo usuário couchdb (ex.: bash, python, nc).
• Modificação ou criação de arquivos em /var/tmp/ pelo usuário couchdb.

Ações Recomendadas

1. Aplique o patch oficial da SonicWall (hotfix de junho de 2026) imediatamente.
2. Restrinja o acesso ao serviço WorkPlace apenas a faixas de IP confiáveis.
3. Monitore os logs para atividade WebSocket anômala e tentativas de distribuição Erlang.
4. Altere o cookie Erlang do nó Erlang interno (se possível) – embora isso possa afetar a funcionalidade do aplicativo.
5. Desative o serviço WorkPlace se não for necessário.

👏 Créditos

• descoberta e PoC: Ch4120N.
• Pesquisa adicional: SonicWall PSIRT e a comunidade de segurança em geral.

📄 Licença

Este projeto é licenciado sob a Licença MIT – consulte o arquivo LICENSE para obter detalhes.

Aviso legal: Esta ferramenta destina-se apenas a fins educacionais e de testes autorizados. O autor e os colaboradores não são responsáveis por qualquer uso indevido ou dano causado por este software.

📚 Referências

• Aviso de Segurança da SonicWall (CVE-2026-15409)
• Entrada no NIST NVD – CVE-2026-15409

⭐ Suporte

Se você achar esta PoC útil, considere dar uma ⭐ no GitHub e compartilhá-la de forma responsável. Contribuições, issues e pull requests são bem-vindos!

Bons hacks! 🛡️