FlawOpen

flawopen.com/Teardowns/cve-2026-102255-sonicwall-sma1000-workplace-ssrf

● CVE-2026-102255 · CVSS 10.0[1] · अति गंभीर
सुरक्षा अनुसंधान · FlawOpen

CVE-2026-102255: SonicWall SMA1000 WorkPlace में SSRF

CVE-2026-102255, SonicWall SMA1000 WorkPlace में CVSS 10.0 वाली pre-authentication SSRF है। 12 अक्टूबर को MS-ISAC ने कहा कि उस समय advisory के चारों flaws के वास्तविक दुनिया में शोषण की कोई रिपोर्ट नहीं थी। उसने यह भी बताया कि यदि इस SSRF को CVE-2026-102256 के साथ chain किया जाए, तो remote code execution संभव हो सकता है; यह अलग command-injection flaw है और इसके लिए authenticated administrator account चाहिए। Advisory chain का तरीका या authentication requirement पूरी करने का रास्ता नहीं बताती; यह conditional risk assessment है, सिद्ध chain नहीं। 9 अक्टूबर को इस CVE से मेल खाते honeypot प्रयासों की रिपोर्ट थी, पर सफल compromise की पुष्टि नहीं हुई। ठीक किया गया platform hotfix लगाएँ।[1], [2], [3], [4], [5], [6]

💡 आसान भाषा में (ELI5)

उपकरण को ऐसे रिसेप्शनिस्ट की तरह समझें जो कमरों के बीच संदेश पहुँचाता है। यह खामी किसी अजनबी को उससे ऐसा संदेश भिजवाने देती है जिसे पाने वाले कमरे तक पहुँचने के लिए पहले पहचान जाँचनी चाहिए। SonicWall ने यह रास्ता ठीक किया है; सार्वजनिक सूचना आंतरिक रूट या सोर्स कोड पैच नहीं दिखाती।[1]

इस पेज के मुख्य शब्द

सर्वर-साइड रिक्वेस्ट फॉर्जरी (SSRF)
सर्वर से ऐसा अनुरोध करवाना जिसे अविश्वसनीय उपयोगकर्ता ने चुना हो। यहाँ उपकरण अनुरोधकर्ता की ओर से आंतरिक सुविधाओं तक पहुँच सकता है।[1], [3]

फ्रेमवर्क मैपिंग

  • इस गाइड में बताई गई कमजोरी के लिए CWE संदर्भ: CWE-918

मूल कारण विश्लेषण (Root Cause)

SonicWall के अनुसार SMA1000 Appliance WorkPlace इंटरफ़ेस में अनचाहा वैकल्पिक पहुँच-पथ था। बिना प्रमाणीकरण वाला दूरस्थ हमलावर उपकरण से अपनी ओर से अनुरोध भेजवा सकता है, आंतरिक सुविधाओं तक पहुँच सकता है और अनधिकृत कार्य कर सकता है। SonicWall की सूचना में firmware source diff प्रकाशित नहीं है। BleepingComputer ने शोधकर्ता Ryan Dewhurst के हवाले से बताया कि honeypots ने WorkPlace Extraweb पर OPTIONS अनुरोधों और स्थानीय CouchDB सेवा को निशाना बनाने वाले प्रयास देखे। रिपोर्ट किसी प्रयास से सिस्टम के सफल समझौते की पुष्टि नहीं करती; यह लेख इसे स्रोत-आधारित प्रयास-रिपोर्ट मानता है, पुष्टि किए गए शोषण के रूप में नहीं। रिपोर्ट किए गए payload या credentials यहाँ नहीं दिए गए हैं। SonicWall CVSS 10.0 Critical देता है और CVE रिकॉर्ड CWE-918 बताता है। विक्रेता यह भी कहता है कि अक्टूबर की कमजोरियाँ अन्य रिपोर्ट की गई SonicWall कमजोरियों से असंबंधित हैं。 इसे पुराने SMA1000 खुलासों के साथ एक exploit chain न बनाएँ। SonicWall की 6 अक्टूबर की सूचना में कहा गया था कि उस समय वास्तविक हमलों का प्रमाण नहीं था। 9 अक्टूबर को BleepingComputer ने शोधकर्ता Ryan Dewhurst के हवाले से बताया कि Previdian honeypots ने इस CVE से मेल खाते प्रयास देखे; किसी सिस्टम के सफलतापूर्वक समझौता होने की पुष्टि नहीं हुई। 12 अक्टूबर 2026 का अपडेट: MS-ISAC के अनुसार उस समय advisory के चारों vulnerabilities के वास्तविक दुनिया में शोषण की कोई रिपोर्ट नहीं थी। यह 9 अक्टूबर की honeypot प्रयासों की रिपोर्ट के अनुरूप है: प्रयास सफल शोषण साबित नहीं करते, और MS-ISAC ने किसी पीड़ित की पहचान नहीं की। उसी advisory का आकलन है कि pre-authentication SSRF CVE-2026-102255 को CVE-2026-102256 के साथ chain करने पर remote code execution और पूरा system compromise हो सकता है। CVE-2026-102256 एक अलग OS command-injection flaw है जिसके लिए authenticated administrator चाहिए। Advisory यह नहीं बताती कि authentication की शर्त कैसे पूरी होगी, कोई सिद्ध sequence नहीं देती, और observed activity में ऐसी chain की रिपोर्ट नहीं करती। इसे सरकारी स्रोत का conditional risk assessment मानें, confirmed या reproducible exploit chain नहीं। SonicWall fixed builds 12.4.3-03670+ और 12.5.0-03082+ बताता है; chain सिद्ध हो या न हो, update लगाएँ।[1], [2], [3], [4], [6]

हमले का चरण-दर-चरण प्रवाह

चरण 1

बिना प्रमाणीकरण का अनुरोध WorkPlace तक पहुँचता है

SonicWall इस pre-authentication खामी को SMA1000 WorkPlace इंटरफ़ेस से जोड़ता है। BleepingComputer ने WorkPlace Extraweb पर OPTIONS प्रयासों का honeypot पता लगाने की रिपोर्ट दी; इससे सफल समझौता सिद्ध नहीं होता।[1], [4]

चरण 2

उपकरण अनुरोधकर्ता की ओर से काम करता है

विक्रेता के अनुसार हमलावर आंतरिक सुविधाओं तक पहुँचकर अनधिकृत कार्य कर सकता है। BleepingComputer की रिपोर्ट के मुताबिक प्रयास स्थानीय CouchDB को लक्ष्य कर रहे थे, लेकिन शोधकर्ता ने सफल समझौते की पुष्टि नहीं की।[1], [4]

चरण 3

ऑपरेटर की प्रतिक्रिया: पैच लगाएँ और जोखिम की जाँच करें

SonicWall ने 12.4.3-03670+ और 12.5.0-03082+ को ठीक किए गए बिल्ड के रूप में बताया है। यदि पैच लगाने में देर हो, तो अंतरिम नियंत्रण के रूप में WorkPlace की पहुँच सीमित करें, लॉग सुरक्षित रखें और जाँच करें। रिपोर्ट की गई कोशिशें सफल सेंधमारी साबित नहीं करतीं।[1], [4], [5]

सोर्स कोड: कमज़ोर बनाम सुरक्षित कार्यान्वयन

Firmware source code और patch diff सार्वजनिक नहीं हैं। यह सामान्य Python उदाहरण caller को तय service ID तक सीमित करता है; application origin और path नियंत्रित करती है और redirects बंद रखती है। यह SonicWall code नहीं, CVE का reproduction नहीं और पूर्ण SSRF defense भी नहीं है। उत्पाद के लिए SonicWall platform hotfix लगाएँ।[1]

सोर्स अंश: Generic SSRF defense illustration; not SonicWall source

कमज़ोर कार्यान्वयन
# सामान्य उदाहरण है; यह SonicWall source code या vulnerability का reproduction नहीं है।
def fetch_health(user_supplied_url, session):
    return session.get(user_supplied_url, timeout=3)
सुरक्षित और सुदृढ़ फ़िक्स
# सामान्य SSRF defense pattern है; यह SonicWall source code या complete patch नहीं है।
from urllib.parse import urljoin

SERVICE_PATHS = {"status": "/health"}
BASE_URLS = {"status": "https://status.example.internal"}

def fetch_health(service_id, session):
    base = BASE_URLS.get(service_id)
    path = SERVICE_PATHS.get(service_id)
    if base is None or path is None:
        raise ValueError("unknown service")
    # User input केवल fixed capability चुनता है, URL या host नहीं।
    return session.get(urljoin(base, path), timeout=(2, 3), allow_redirects=False)

इंजीनियरिंग और सिस्टम सुरक्षा चेकलिस्ट

स्रोत