Introduzione
Le vulnerabilità CVE-2026-15409 e CVE-2026-15410 nel SonicWall SMA1000 sono state scoperte dal team di Managed Detection and Response di Rapid7. Queste vulnerabilità permettono agli attaccanti di eseguire comandi arbitrari come root e di accedere a servizi locali.
Tecnica di attacco
Gli attaccanti sfruttano la vulnerabilità CVE-2026-15409 per aprire un tunnel websocket-based verso servizi locali, come il servizio Erlang in ascolto sulla porta 1050. Successivamente, possono sfruttare la vulnerabilità CVE-2026-15410 per eseguire comandi arbitrari come root.
Impatto
Le vulnerabilità sono state sfruttate in modo attivo e gli attaccanti hanno estratto credenziali di alto valore, database di sessioni attive e configurazioni di autenticazione a più fattori. Questo ha permesso loro di accedere alla rete interna aziendale e di eseguire azioni maliziose.
Mitigazione
Per mitigare queste vulnerabilità, è necessario applicare le patch più recenti e eseguire una revisione forense per individuare eventuali indicatori di compromissione. Inoltre, è consigliabile reimagingare gli appliance fisici o ridistribuire gli appliance virtuali se si sospetta una compromissione.