CVE-2026-15409

Nome do Software Vulnerável e Versões Afetadas SonicWall SMA1000 (versões afetadas não especificadas) sonicwall sma6210 firmware versões 12.4.3-03245 até 12.5.0-02624 sonicwall sma7210 firmware (versões afetadas não especificadas) sonicwall sma8200v (versões afetadas não especificadas)

Descrição Um problema de server-side request forgery (SSRF) não autenticado existe na interface SMA1000 Appliance Work Place devido à validação insuficiente de requisições no lado do servidor. Esta falha permite que um invasor remoto force o dispositivo a fazer requisições para locais não pretendidos. Especificamente, invasores podem usar o endpoint WebSocket público /wsproxy para acessar serviços na interface local do dispositivo. Em incidentes reais, isso foi explorado através de um túnel para um nó de distribuição Erlang na porta local 1050 para obter a execução de comandos. Invasores utilizaram isso para extrair o arquivo policy file.xml, recuperar configurações LDAP e descriptografar senhas usando uma chave AES estática. Esses dispositivos comprometidos serviram então como plataformas para ataques internos adicionais, incluindo a extração de credenciais e replicação de domínio contra ambientes Active Directory em vários países e setores, incluindo governo, saúde e serviços financeiros.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade. Como medida paliativa temporária, restrinja o acesso ao endpoint WebSocket /wsproxy para minimizar o risco de exploração.