SonicWall SMA 1000 — Detetor de Exposição CVE-2026-83548 / CVE-2026-83549

Um script de deteção não intrusivo para appliances SonicWall Secure Mobile Access (SMA) 1000 afetadas por CVE-2026-83548 (SSRF pré-autenticação na interface Work Place, CVSS 10.0) e CVE-2026-83549 (injeção de comandos no sistema operativo pós-autenticação no AMC, CVSS 7.8) — dois zero-days explorados ativamente e encadeados para RCE não autenticado.

Esta é uma verificação de estado de patch / exposição, não um exploit. Executa apenas pedidos HTTP(S) GET só de leitura, não envia payload de SSRF ou injeção de comandos, e não faz qualquer tentativa de autenticação. Não existe prova de conceito aqui.

O que faz

1. Obtém a página raiz do alvo via HTTPS.
2. Identifica se é um portal WorkPlace SonicWall SMA 1000 (Server: SMA/*, recursos __extraweb__, link de ajuda SMA 1000 Series).
3. Extrai a versão de firmware que o appliance anuncia.
4. Compara-a com as builds corrigidas publicadas pela SonicWall e reporta:
   • PATCHED — build ≥ a build corrigida para a sua linha.
   • AFFECTED — build < a build corrigida (apenas quando uma build exata é exposta).
   • POTENTIALLY AFFECTED — numa linha de firmware afetada, mas a build exata do hotfix não é exposta externamente (o caso comum — ver limitação abaixo).
   • NOT SMA 1000 — o alvo não parece um portal WorkPlace SMA 1000.

Versões afetadas / corrigidas

Fonte: aviso de produto SonicWall SNWLID-2026-0016. Hardware afetado: SMA 1000 modelos 6210, 7210, 8200v.

Limitação importante (leia isto)

Um SMA 1000 normalmente anuncia apenas a sua linha major.minor.patch (ex.: 12.5.0) externamente — não a build exata do hotfix (ex.: 12.5.0-02902). Como a build corrigida (12.5.0-02952) está na mesma linha 12.5.0 que as builds vulneráveis, um alvo que exponha apenas 12.5.0 não pode ser classificado como corrigido-ou-vulnerável a partir do exterior. Nesse caso, a ferramenta devolve POTENTIALLY AFFECTED e indica-lhe para confirmar a build exata localmente (consola do appliance / AMC). Um resultado "POTENTIALLY AFFECTED" não é prova de vulnerabilidade — o appliance pode muito bem estar corrigido.

Utilização

Requer Python 3.8+ (apenas biblioteca padrão — sem dependências).

# Alvo único (verificar o certificado)
python3 sma1000_detect.py vpn.example.com

# Por IP simples com certificado wildcard — ignorar verificação do certificado
python3 sma1000_detect.py -k https://203.0.113.10

# Vários alvos, timeout personalizado
python3 sma1000_detect.py -t 10 host-a.example.com host-b.example.com

Exemplo de saída:

[?] POTENTIALLY AFFECTED  https://vpn.example.com
        Server: SMA/12.5
        Versão anunciada: 12.5.0
        SMA 1000 na linha 12.5.0, mas a build exata do hotfix não é exposta
        externamente. Esta linha contém TANTO builds vulneráveis (< 12.5.0-02952) como corrigidas
        (>= 12.5.0-02952), pelo que o estado do patch é INDETERMINADO a partir do exterior. Verifique
        a build localmente (consola do appliance / AMC): confirme que é >= 12.5.0-02952.

Códigos de saída

Remediação

Atualize para 12.4.3-03526 ou 12.5.0-02952 (ou posterior) de acordo com o aviso da SonicWall. Como estas CVEs estão ativamente exploradas no mundo real, se um appliance estava a executar uma build vulnerável enquanto exposto à internet, trate-o como potencialmente comprometido: verifique os indicadores de comprometimento do fornecedor e, se algum estiver presente, reinstale a imagem do appliance e reponha todas as palavras-passe de utilizador/administrador e credenciais TOTP/MFA. Restrinja o acesso ao AMC / plano de gestão apenas a redes de confiança.

Referências

• Aviso de Produto SonicWall SNWLID-2026-0016
• CVE-2026-83548 — SSRF pré-autenticação, interface Work Place SMA 1000 (CVSS 10.0)
• CVE-2026-83549 — injeção de comandos no sistema operativo pós-autenticação, AMC (CVSS 7.8)
• Catálogo de Vulnerabilidades Exploradas Conhecidas (KEV) da CISA

Utilização legal / autorizada

Esta ferramenta destina-se apenas a testes de segurança autorizados e verificação defensiva de patches. Execute-a apenas contra sistemas que possui ou para os quais tem permissão escrita explícita para testar. A análise não autorizada pode ser ilegal. Os autores não aceitam qualquer responsabilidade por uso indevido. Fornecida sob a Licença MIT — ver LICENSE.