Volexity hat eine ausgeklügelte Angriffskette gegen SonicWall SMA 1000 VPN-Appliances aufgedeckt, die seit dem 22. Juni 2026 aktiv ausgenutzt wird. Der Angreifer (von Volexity als UTA0533 verfolgt) startet mit CVE-2026-15409, einer SSRF-Schwachstelle mit CVSS 10.0 im /wsproxy-Endpunkt: Ein manipulierter User-Agent-String öffnet einen WebSocket-Tunnel zu eigentlich nur lokal erreichbaren Diensten. Darüber gelangt der Angreifer an die interne CouchDB-Datenbank der Appliance, liest die Hardware-UUID aus und nutzt sie, um das Basic-Auth-Passwort des internen Steuerungsdienstes zu berechnen. Mit CVE-2026-15410, einer Path-Traversal-Schwachstelle im Hotfix-Mechanismus, erlangt er schließlich Root-Rechte. Auf kompromittierten Systemen fanden die Forensiker einen Java-Webshell (ORANGETAIL, angelehnt an das Behinder-Framework), ein Persistenz-Skript in der NGINX-Konfiguration und sogar einen mitgeschnittenen Klartext-LDAP-Traffic zum Abgreifen von Zugangsdaten. SonicWall hat beide Lücken inzwischen gepatcht. Für jeden, der VPN-Gateways betreibt, ein klares Signal: Remote-Access-Appliances sind mittlerweile das bevorzugte Einstiegstor, weil sie direkten Zugriff auf die zentrale Authentifizierung geben.
Comments powered by CComment