Remotezugriff Sonicwall SMA1000: Angreifer verbiegen interne Dienste

Die Fernzugriffslösung SMA1000 von Sonicwall ist verwundbar und Angreifer greifen zurzeit im Zuge von aktiven Attacken mit weitreichenden Rechten auf Instanzen zu. In einem Fall sind die Hürden dafür vergleichsweise niedrig. Um Systeme zu schützen, müssen Admins umgehend die verfügbaren Hotfixes installieren. In welchem Umfang die Attacken ablaufen, ist derzeit nicht bekannt.

Weiterlesen nach der Anzeige

Hintertür für Angreifer

In einer Warnmeldung listen die Entwickler eine „kritische“ Lücke (CVE-2026-83548) mit maximalem CVSS Score 10 von 10 auf. Das konkrete Problem ist ein bislang undokumentierter alternativer Zugriffspfad in der Work-Place-Schnittstelle von SMA1000-Appliances.

Daran kann der Beschreibung der Schwachstelle zufolge ein entfernter Angreifer ohne Authentifizierung für eine SSRF-Attacke (Server-Side Request Forgery) ansetzen und genau das passiert gerade. So kann er dann auf eigentlich abgeschottete Dienste zugreifen. Darüber ist auch der Zugriff auf administrative Funktionen möglich. So können Angreifer etwa VPN-Konfigurationen verbiegen oder sich persistente Zugänge verschaffen. Zusätzlich kann es zur Ausführung von Schadcode kommen. Danach gelten Systeme in der Regel als vollständig kompromittiert.

Für das erfolgreiche Ausnutzen der zweiten Softwareschwachstelle (CVE-2026-83549 „hoch“) müssen Angreifer bereits authentifiziert sein. Ist das gegeben, können sie eigenen Code ausführen.

Jetzt patchen!

Als konkret von den Lücken betroffen listet Sonicwall die SMA1000-Modelle 6210, 7210 und 8200v auf. Die Entwickler versichern, die Lücken in den Versionen 12.4.3-03526 (platform-hotfix) und 12.5.0-02952 (platform-hotfix) geschlossen zu haben. Alle vorigen Ausgaben sind ihnen zufolge attackierbar.

Weiterlesen nach der Anzeige

Zuletzt haben Angreifer im Juli kritische Sicherheitslücken in SMA1000-Appliances ausgenutzt.