[1] CVE-2026-15409 | [2] CVE-2026-15410

SonicWall SMA1000 - SSRF → Erlang RCE → Root Privesc

Фреймворк для эксплуатации и инструмент безопасного обнаружения

[!] Только этичное использование — авторизованные тесты

Этот репозиторий предоставляет инструменты исключительно для авторизованных специалистов по безопасности, blue teams и пентестеров.

Неавторизованный доступ к компьютерным системам является незаконным в соответствии с **CFAA (США), Computer Misuse Act (Великобритания), TCK 243/244 (Турция) и аналогичными законами по всему миру.

---

[>] Обзор уязвимости

CVE-2026-15409 — критическая неаутентифицированная уязвимость Server-Side Request Forgery (SSRF), обнаруженная в интерфейсе Appliance Work Place устройства SonicWall SMA1000.

Как это работает:

1. Атакующий эксплуатирует SSRF для туннелирования через endpoint wsproxy.
2. Это даёт доступ к внутренним сервисам распределения Erlang (порт 1050/8188).
3. Используя жёстко закодированный cookie по умолчанию, атакующий аутентифицируется на узле Erlang.
4. Удалённое выполнение кода (RCE) достигается через вызовы os:cmd/1.
5. Затем CVE-2026-15410 объединяется в цепочку для повышения привилегий до root через обход пути в AMC (Appliance Management Console).

Ключевые факты:

• Раскрыто: 14 июля 2026 г.

• Оценка CVSS: 10.0 (КРИТИЧЕСКАЯ)

• !> CISA KEV: Добавлено 14 июля 2026 г. (Срок устранения: 17 июля 2026 г.)

• Затронутые продукты: SMA 6210, SMA 7210, SMA 8200v

• Исправленные версии: 12.4.3-03453+ и 12.5.0-02835+

---

[<>] Фреймворк для эксплуатации (exploit.py)

Полноценный боевой эксплойт объединяет CVE-2026-15409 и CVE-2026-15410 для достижения компрометации на уровне root.

[<>] Возможности:

Возможность	Описание
[+] SSRF → Erlang RPC	Автоматически туннелирует через wsproxy для доступа к внутренним узлам Erlang.
[+] Удалённое выполнение кода	Выполнение произвольных команд ОС через os:cmd/1.
[+] Интерактивная оболочка	Запуск живой оболочки с поддержкой команд privesc и download.
[+] Повышение привилегий до root	Использование CVE-2026-15410 для эскалации до root через обход пути в AMC.
[+] Файловые операции	Чтение и запись файлов в целевой системе.
[+] Массовое сканирование	Массовая эксплуатация нескольких целей с многопоточностью (флаг -l).
[+] Обнаружение SSRF	Опциональный флаг --detect для безопасной проверки уязвимости.
[+] Настраиваемость	Переопределение WebSocket URL, Origin, User-Agent, Cookie и многого другого.
[+] Без дополнительных зависимостей	Используется только стандартная библиотека Python (кроме опционального requests для обнаружения).
[+] Собственная реализация WebSocket	Без внешних библиотек WebSocket — собственная реализация рукопожатия на уровне сокетов позволяет избежать сигнатурных отпечатков, специфичных для библиотек, что улучшает OPSEC.

---

[>>] Установка и требования

Предварительные требования:

• Python 3.6+
• pip (для библиотеки requests)

Установка зависимостей:

pip install -r requirements.txt

[!] Примечание: exploit.py использует ручную реализацию WebSocket — библиотека websockets не требуется. requests нужен только для функции --detect.

[i] Примеры использования

[2] Фреймворк для эксплуатации (exploit.py)

# Interactive shell on target
python exploit.py -u 192.168.1.100

# Execute a single command
python exploit.py -u 192.168.1.100 --exec "id && whoami"

# Read a file
python exploit.py -u 192.168.1.100 --read-file /etc/passwd

# Enable SSRF detection before exploitation
python exploit.py -u 192.168.1.100 --detect

# Attempt root privesc
python exploit.py -u 192.168.1.100 --privesc

# Mass exploit from file (50 threads)
python exploit.py -l targets.txt -m 50 --exec "uname -a"

# Custom port and path
python exploit.py -u 10.0.0.5 -p 8443 --path /workplace

# Pipe mode (read command from stdin)
echo "cat /etc/hosts" | python exploit.py -u 192.168.1.100

[2] Безопасный чекер (checker.py)

# Single target scan
python checker.py https://192.168.1.100

# Custom port and path
python checker.py 192.168.1.100 --port 8443 --path /workplace

# Mass scan from file
python checker.py --list targets.txt

[i] Затронутые версии

Продукт	Уязвимые версии	Исправленные версии
SMA 6210	12.4.3-03245, 12.4.3-03387, 12.4.3-03434 12.5.0-02283, 12.5.0-02624, 12.5.0-02800	12.4.3-03453+ 12.5.0-02835+
SMA 7210	Как указано выше	Как указано выше
SMA 8200v	Как указано выше	Как указано выше

[!] Важно: Эти уязвимости не затрагивают межсетевые экраны SonicWall (SSL-VPN) или серию SMA 100.

---

[<>] Технический разбор

SSRF (CVE-2026-15409)

Endpoint wsproxy на порту 443 принимает параметр bmID, начинающийся с -3389, и спецификацию host:port. Указав host=127.0.0.1 и port=1050, атакующие могут туннелировать к внутреннему сервису распределения Erlang.

Erlang RPC

Узел Erlang использует жёстко закодированный cookie по умолчанию: 10ecad5b446e86864832904cd439b6b70262. Это позволяет удалённо аутентифицироваться и выполнять любой вызов os:cmd/1.

Повышение привилегий до root (CVE-2026-15410)

После аутентификации эксплойт записывает shell-скрипт в /var/tmp/ и вызывает XML-RPC endpoint AMC remove_hotfix с обходом пути (../../../../var/tmp/script.sh), выполняя скрипт от имени root.

---

[+] Индикаторы компрометации (IoCs)

SonicWall рекомендует проверять:

• extraweb_access.log на наличие /__api__/login или /__api__/logout (статус 200)
• extraweb_access.log на наличие /wsproxy с подозрительными параметрами host (статус 101)
• ctrl-service.log на наличие откатов hotfix с обходом пути
• /var/lib/unit/conf.json на наличие маршрутов для /__api__/login или /__api__/logout

---

[¡] Правовая оговорка и ответственное использование

Этот инструмент предоставляется исключительно в образовательных целях и для авторизованного тестирования на проникновение.