SonicWall SMA 1000: divi nulles dienas caurumi jau tiek izmantoti — SSRF ar CVSS 10.0 un komandu izpilde

SonicWall 14. jūlijā brīdināja, ka divi caurumi tās SMA 1000 sērijas attālās piekļuves ierīcēs jau tiek izmantoti uzbrukumos. Uzņēmuma drošības komanda (PSIRT) izmeklēja vairākus gadījumus un apstiprināja, ka abas kļūdas ekspluatē reālā laikā. Tas ir klasisks nulles dienas scenārijs: labojums iznāca pēc tam, kad uzbrukumi jau notika.

Smagākā kļūda, CVE-2026-15409, saņēma CVSS vērtējumu 10.0 — augstāko iespējamo. Tā ir servera puses pieprasījumu viltošana (SSRF) SMA1000 Work Place saskarnē. Neautentificēts uzbrucējs no attāluma var piespiest ierīci sūtīt pieprasījumus uz vietām, uz kurām tai nevajadzētu sazināties. Otra kļūda, CVE-2026-15410, ir novērtēta ar 7.2 un prasa autentifikāciju, taču sekas ir smagākas — tā ļauj palaist patvaļīgas operētājsistēmas komandas.

Ko dara katrs no diviem caurumiem

CVE-2026-15409 sēž Work Place tīmekļa saskarnē, kur lietotāji parasti piesakās VPN. SSRF nozīmē, ka ierīce izpilda uzbrucēja iestrādātu pieprasījumu ar savām tiesībām. Iekšējā tīklā aiz VPN ierīces tas atver ceļu uz servisiem, kuriem no ārpuses nevajadzētu būt sasniedzamiem.

Vērtējums 10.0 pēc CVSS skalas nav bieža parādība. To piešķir tikai tad, kad uzbrukums izpildāms attālināti, bez autentifikācijas, bez lietotāja iesaistes, un rezultāts skar visu ierīci. CVE-2026-15409 atbilst visiem šiem punktiem. Tieši tāpēc caurums, kas pats par sevi ir tikai pieprasījumu viltošana, saņem tik augstu vērtējumu — SSRF pret tīkla malas ierīci ir tramplīns dziļāk tīklā.

CVE-2026-15410 atrodas ierīces pārvaldības konsolē (Appliance Management Console). Šeit uzbrucējam vispirms jābūt autentificētam, bet tad viņš var iepludināt kodu un izpildīt komandas ar administratora tiesībām. SonicWall nav atklājis, vai uzbrucēji abas kļūdas savij kopā vienā ķēdē. To atsevišķi norāda arī BleepingComputer: uzņēmums nav paskaidrojis, vai SSRF caurums kalpo par ieejas punktu, pēc kura seko komandu izpilde.

Skartas ir SMA 1000 sērijas ierīces — konkrēti SMA6210, SMA7210 un SMA8200v modeļi. Šīs ir aparatūras un virtuālās ierīces, ko uzņēmumi liek tīkla malā, lai darbinieki varētu droši pieslēgties iekšējiem resursiem. Kļūdu atklāja SonicWall inženieris Adams Babis, bet ar papildu kompromitācijas pazīmēm palīdzēja drošības firmas Volexity pētnieki Šons Kēsels un Stīvens Adērs. Volexity pēdējos gados vairākkārt ir izsekojusi uzbrukumus tieši caur tīkla malas ierīcēm, tāpēc tās iesaiste norāda, ka aiz brīdinājuma stāv reāls incidents.

Kā saprast, vai ierīce jau uzlauzta

SonicWall iesaka administratoriem izķemmēt žurnālus, meklējot vairākas konkrētas pēdas. Galvenie signāli:

• pieprasījumi uz /__api__/login vai /__api__/logout ar HTTP 200 atbildi;
• pieprasījumi uz /wsproxy ar aizdomīgiem host parametriem un HTTP 101 atbildi;
• hotfix atritināšanas (rollback) ieraksti ar ceļu apiešanas nosaukumiem žurnālā;
• maršruti uz neeksistējošiem URI failā /var/lib/unit/conf.json.

Ja kāda no šīm pēdām atrodas, ar atjaunināšanu vien nepietiek. SonicWall norāda, ka kompromitēta ierīce jāpārinstalē no jauna un jānomaina visas lietotāju un administratoru paroles, kā arī jāatiestata TOTP marķieri. Uzbrucējs, kas jau tika iekšā, var būt paņēmis akreditācijas datus, tāpēc vecās paroles vairs nav uzticamas.

Vienīgais labojums ir hotfix

Apvedceļa risinājumu nav. SonicWall skaidri raksta, ka nav ne pagaidu mīkstinājumu, ne konfigurācijas izmaiņu, kas caurumus aizvērtu — jāuzliek hotfix. Labotās versijas ir 12.4.3-03453 un 12.5.0-02835. Klientiem, kuriem SMA 1000 vēl darbojas, jāsazinās ar SonicWall atbalstu, lai hotfix saņemtu.

Klientiem stingri ieteicams pēc iespējas ātrāk pāriet uz hotfix laidienu, lai novērstu šīs ievainojamības.

Tā kā apvedceļa nav, katra diena ar nelabotu ierīci internetā ir logs uzbrucējam. Pārvaldības konsole (AMC), kurā sēž otrs caurums, principā nemaz nedrīkstētu būt sasniedzama no publiskā tīkla — administratoriem vērts pārbaudīt, vai ugunsmūra kārtulas to tur slēgtu, kamēr hotfix vēl nav uzlikts. SSRF caurumu lietotāju saskarnē tas neaizver. Toties otro uzbrukuma virsmu tas samazina.

SMA ierīces jau agrāk ir bijušas uzbrucēju mērķis, jo tās stāv tīkla malā un dod tiešu ceļu uz iekšējiem tīkliem. Tāda pati loģika darbojas arī tagad: viena ierīce ar CVSS 10.0 caurumu, kas sasniedzama no interneta, ir vērtīgs sākuma punkts plašākam uzbrukumam.

CISA jau iekļāva sarakstā, federālajām iestādēm termiņš 17. jūlijs

ASV Kiberdrošības aģentūra CISA abus caurumus 14. jūlijā ievietoja savā aktīvi izmantoto ievainojamību katalogā (KEV). Saskaņā ar direktīvu BOD 26-04 federālajām civilajām iestādēm līdz 17. jūlijam vai nu jāuzliek labojums, vai jāpārtrauc ierīces lietošana. KEV katalogs formāli attiecas tikai uz ASV valsts iestādēm, taču tas kalpo par ātru signālu arī privātajam sektoram: ja caurums ir tur, tas nozīmē, ka to jau kāds izmanto.

Latvijā un pārējā Eiropā SMA 1000 pārsvarā stāv lielākos uzņēmumos, kur to izmanto attālinātai piekļuvei. Administratoram, kas lasa šo, praktiskā rīcība ir vienkārša: pārbaudīt, vai kāda SMA 1000 sērijas ierīce ir sasniedzama no interneta, salīdzināt versiju ar 12.4.3-03453 un 12.5.0-02835, un, ja tā vecāka, sazināties ar SonicWall atbalstu. Pēc atjaunināšanas žurnālos jāmeklē četras iepriekš minētās pēdas.

Avoti

• The Hacker News — Two SonicWall SMA 1000 Zero-Days Exploited
• BleepingComputer — SonicWall warns of SMA1000 flaws exploited in zero-day attacks
• Help Net Security — SonicWall SMA appliances targeted in zero-day attacks
• SonicWall PSIRT — drošības brīdinājumi
• CISA — Known Exploited Vulnerabilities Catalog