Zero-Day-Warnung: SonicWall SMA1000 unter aktivem Beschuss (CVSS 10.0)

Dieser Artikel wurde bereits 32x gelesen...

SonicWall warnt vor der aktiven Ausnutzung zweier kritischer Sicherheitslücken in der Remote-Access-Serie SMA1000. Eine der Lücken wird mit dem höchstmöglichen CVSS-Score von 10.0 bewertet. Wenn Sie SMA1000-Appliances im Einsatz haben, besteht dringender Handlungsbedarf!

Das Analystenteam von SonicWall hat mehrere Vorfälle untersucht, die eindeutig auf eine aktive Ausnutzung ungepatchter Systeme in freier Wildbahn hinweisen. Angreifer nutzen zwei Schwachstellen aus, um ohne vorherige Authentifizierung Anfragen an interne Ziele umzuleiten und anschließend beliebige Betriebssystembefehle auszuführen – mit dem Ziel, die vollständige Kontrolle (Root-Rechte) über die Appliance zu erlangen.

Aufgrund der akuten Bedrohungslage hat auch die US-Sicherheitsbehörde CISA beide Schwachstellen am 14. Juli 2026 offiziell in ihren Known Exploited Vulnerabilities (KEV) Katalog aufgenommen.

Die Schwachstellen im Detail

Die SSRF-Lücke (CVE-2026-15409) erlaubt es entfernten, nicht authentifizierten Angreifern, die Appliance dazu zu bringen, Anfragen an interne Netzwerke umzuleiten. In Kombination mit der Code-Injection-Lücke (CVE-2026-15410) können Angreifer mit Administratorrechten eigene OS-Befehle auf dem System ausführen.

Sofortmaßnahmen: Was müssen Betreiber jetzt tun?

1. Updates unverzüglich einspielen

SonicWall hat gepatchte Versionen bereitgestellt. Aktualisieren Sie Ihre SMA1000-Appliances umgehend auf mindestens eine der folgenden Versionen:

• 12.4.3-03453 (oder höher)

• 12.5.0-02835 (oder höher)

2. Forensische Log-Analyse durchführen (Indicators of Compromise)

Da es sich um Zero-Day-Ausnutzungen handelt, reicht das reine Einspielen des Updates nicht aus. Es muss sichergestellt werden, dass das System vor dem Patch nicht bereits kompromittiert wurde. Untersuchen Sie Ihre Protokolldateien gezielt auf folgende IoCs:

• In extraweb_access.log: Anfragen an /__api__/login oder /__api__/logout mit dem HTTP-Status 200.

• In extraweb_access.log: Anfragen an /wsproxy mit verdächtigen Host-Parametern und dem HTTP-Status 101.

• In ctrl-service.log: Einträge zu Hotfix-Rollbacks mit Pfad-Traversal-Namensmustern.

• In /var/lib/unit/conf.json: Vorhandensein unautorisierter Routen für /__api__/login oder /__api__/logout.

Sollte Ihre Log-Analyse Auffälligkeiten ergeben, muss von einer vollständigen Kompromittierung ausgegangen werden. In diesem Fall empfehlen Experten und Hersteller folgende Notfall-Schritte:

1. Systeme neu aufsetzen:

   • Hardware-Geräte: Vollständig zurücksetzen und neu aufsetzen.

   • Virtuelle Appliances: Nicht aus einem Backup wiederherstellen, sondern komplett neu bereitstellen.

2. Zugangsdaten zurücksetzen: Alle Passwörter für normale Benutzer und Administratoren sofort ändern.

3. MFA-Token erneuern: Sämtliche TOTP-Token (2FA) aller Benutzer zurücksetzen und neu ausgeben.