[1] CVE-2026-15409 | [2] CVE-2026-15410

SonicWall SMA1000 - SSRF → Erlang RCE → Root 提权

漏洞利用框架与安全检测工具

[!] 仅限合法用途 - 授权测试

本仓库仅为授权的安全专业人员、蓝队和渗透测试人员提供工具。

未经授权访问计算机系统在 CFAA（美国）、Computer Misuse Act（英国）、TCK 243/244（土耳其）以及全球类似法律 下均属违法行为。

---

[>] 漏洞概述

CVE-2026-15409 是在 SonicWall SMA1000 设备 Work Place 接口中发现的一个严重的**未认证服务器端请求伪造（SSRF）**漏洞。

工作原理：

1. 攻击者利用 SSRF 通过 wsproxy 端点进行隧道穿透。
2. 从而获得对内部 Erlang 分布式服务（端口 1050/8188）的访问权限。
3. 使用硬编码的默认 cookie，攻击者向 Erlang 节点进行认证。
4. 通过 os:cmd/1 调用实现远程代码执行（RCE）。
5. 随后串联 CVE-2026-15410，通过 AMC（设备管理控制台）中的路径遍历将权限提升至 root。

关键事实：

• 披露日期： 2026 年 7 月 14 日

• CVSS 评分： 10.0（严重）

• !> CISA KEV： 于 2026 年 7 月 14 日加入（截止日期：2026 年 7 月 17 日）

• 受影响产品： SMA 6210、SMA 7210、SMA 8200v

• 修复版本： 12.4.3-03453+ 和 12.5.0-02835+

---

[<>] 漏洞利用框架（exploit.py）

完整的武器化漏洞利用程序串联了 CVE-2026-15409 和 CVE-2026-15410，以实现 root 级别的入侵。

[<>] 功能特性：

功能	描述
[+] SSRF → Erlang RPC	自动通过 wsproxy 隧道穿透以访问内部 Erlang 节点。
[+] 远程代码执行	通过 os:cmd/1 执行任意操作系统命令。
[+] 交互式 Shell	生成实时 shell，支持 privesc 和 download 命令。
[+] Root 提权	利用 CVE-2026-15410 通过 AMC 路径遍历提升至 root。
[+] 文件操作	读取和写入目标系统上的文件。
[+] 批量扫描	使用多线程（-l 标志）批量利用多个目标。
[+] SSRF 检测	可选的 --detect 标志用于安全漏洞验证。
[+] 可定制	可覆盖 WebSocket URL、Origin、User-Agent、Cookie 等。
[+] 无额外依赖	仅使用 Python 标准库（可选 requests 用于检测）。
[+] 原生 WebSocket 实现	无外部 WebSocket 库——自定义套接字级握手避免了特定库的签名指纹，以实现更好的 OPSEC。

---

[>>] 安装与要求

前置条件：

• Python 3.6+
• pip（用于 requests 库）

安装依赖：

pip install -r requirements.txt

[!] 注意：exploit.py 使用手动 WebSocket 实现——无需 websockets 库。仅 --detect 功能需要 requests。

[i] 使用示例

[2] 漏洞利用框架（exploit.py）

# Interactive shell on target
python exploit.py -u 192.168.1.100

# Execute a single command
python exploit.py -u 192.168.1.100 --exec "id && whoami"

# Read a file
python exploit.py -u 192.168.1.100 --read-file /etc/passwd

# Enable SSRF detection before exploitation
python exploit.py -u 192.168.1.100 --detect

# Attempt root privesc
python exploit.py -u 192.168.1.100 --privesc

# Mass exploit from file (50 threads)
python exploit.py -l targets.txt -m 50 --exec "uname -a"

# Custom port and path
python exploit.py -u 10.0.0.5 -p 8443 --path /workplace

# Pipe mode (read command from stdin)
echo "cat /etc/hosts" | python exploit.py -u 192.168.1.100

[2] 安全检测器（checker.py）

# Single target scan
python checker.py https://192.168.1.100

# Custom port and path
python checker.py 192.168.1.100 --port 8443 --path /workplace

# Mass scan from file
python checker.py --list targets.txt

[i] 受影响版本

产品	受影响版本	修复版本
SMA 6210	12.4.3-03245, 12.4.3-03387, 12.4.3-03434 12.5.0-02283, 12.5.0-02624, 12.5.0-02800	12.4.3-03453+ 12.5.0-02835+
SMA 7210	同上	同上
SMA 8200v	同上	同上

[!] 重要提示： 这些漏洞不影响 SonicWall 防火墙（SSL-VPN）或 SMA 100 系列。

---

[<>] 技术深入分析

SSRF（CVE-2026-15409）

端口 443 上的 wsproxy 端点接受以 -3389 开头的 bmID 参数以及 host:port 规范。通过将 host=127.0.0.1 和 port=1050 指向本地，攻击者可以隧道穿透至内部 Erlang 分布式服务。

Erlang RPC

Erlang 节点使用硬编码的默认 cookie：10ecad5b446e86864832904cd439b6b70262。这允许远程认证并执行任意 os:cmd/1 调用。

Root 提权（CVE-2026-15410）

认证成功后，漏洞利用程序将 shell 脚本写入 /var/tmp/，并触发 AMC remove_hotfix XML-RPC 端点，利用路径遍历（../../../../var/tmp/script.sh）以 root 身份执行该脚本。

---

[+] 入侵指标（IoCs）

SonicWall 建议检查：

• extraweb_access.log 中的 /__api__/login 或 /__api__/logout（200 状态码）
• extraweb_access.log 中的 /wsproxy 带有可疑 host 参数（101 状态码）
• ctrl-service.log 中的带有路径遍历的热修复回滚
• /var/lib/unit/conf.json 中包含 /__api__/login 或 /__api__/logout 的路由

---

[¡] 法律免责声明与负责任使用

本工具仅供教育和授权渗透测试目的使用。

作者和贡献者不对本软件造成的任何误用或损害负责。用户须自行确保在测试前获得目标所有者的明确书面许可。未经授权访问计算机系统在《计算机欺诈与滥用法》（CFAA）及全球类似法律下均属违法行为。

使用本软件即表示您同意：

• 仅在您拥有或获得明确测试许可的系统上使用。
• 遵守所有适用的地方、州和联邦法律。
• 不将其用于任何恶意、破坏性或非法活动。

[¡] 警告： 该漏洞正在被积极利用。未经授权的使用可能导致严重的法律后果。

---

[+] 参考资料

• NVD - CVE-2026-15409
• SonicWall Advisory (SNWLID-2026-0008)
• CISA KEV Catalog
• The Hacker News - Two SonicWall SMA 1000 Zero-Days Exploited