Intel

CVE-2026-15409

SonicWall SMA1000 Appliances — SonicWall SMA1000 Appliances Server-Side Request Forgery Vulnerability

criticalRansomwareKEV: aktiv ausgenutztPoCEPSS 84 %

Beschreibung

Ein Angriff durch gefälschte Serveranfragen (Server-Side Request Forgery, SSRF) wurde im SMA1000 Appliance Workplace Interface identifiziert. Ein entfernter unauthentisierter Angreifer könnte potenziell dazu führen, dass das Gerät Anfragen an eine nicht beabsichtigte Zieladresse sendet.

Quelle: CISA_KEVNVDCVELISTV5BSI_CSAFBSI

Behebung & Mitigation

Warum sofort handeln?

Priorisierung

CVE-2026-15409 erhält CVSS 10.0 (AV:N/AC:L/PR:N/UI:N/S:C) — maximale Kritikalität, da keinerlei Authentifizierung erforderlich ist und der Scope über die Appliance hinausgeht. Der EPSS-Wert von 83,7 % (Perzentile 99,7 %) belegt eine extrem hohe Ausnutzungswahrscheinlichkeit in der Praxis. CISA hat die Ransomware-Nutzung explizit bestätigt, was bedeutet, dass erfolgreiche SSRF-Ausnutzung typischerweise als Brückenkopf für Credential-Harvesting, Lateral Movement und anschließende Ransomware-Deployment genutzt wird. Für NIS2-pflichtige Organisationen mit SMA1000 als Remote-Access-Gateway ist die Exposition besonders kritisch, da diese Appliances per Definition aus dem Internet erreichbar sind und Zugang zu internen Netzen vermitteln — ein kompromittiertes Gerät kann als Pivot-Punkt für den gesamten internen Perimeter dienen.

Runbook · Schritt 1

Sofort-Response (0-24 h)

  • Patch einspielen (höchste Priorität): SonicWall hat für die SMA1000-Reihe (SMA6210, SMA7210) einen Sicherheitspatch veröffentlicht — genaue Firmware-Version bitte im SonicWall PSIRT-Advisory nachschlagen und sofort einspielen. Bis zur Patch-Verfügbarkeit im eigenen Wartungsfenster gelten die nachfolgenden Kompensationsmaßnahmen.
  • Work Place-Interface vom Internet trennen: Das betroffene Interface (SMA1000 Work Place) sofort hinter eine Firewall-Regel stellen, die unauthenzierten Zugriff aus dem Internet blockiert. Nur noch Zugriff aus vertrauenswürdigen Quell-IP-Bereichen (z. B. Corporate-VPN-Egress, Jump-Host-Netze) erlauben.
  • Ausgehenden Traffic der Appliance einschränken: Auf der vorgelagerten Firewall ausgehende Verbindungen der SMA1000-Appliance auf explizit erlaubte Ziele (Allowlist) beschränken, um SSRF-Pivoting in interne Segmente oder Cloud-Metadaten-Endpunkte (169.254.169.254, fd00:ec2::254) zu unterbinden.
  • Aktive Sessions prüfen und invalidieren: Alle aktiven Sitzungen auf der Appliance terminieren und Session-Tokens rotieren. Logs auf ungewöhnliche Anfragen aus dem Work Place-Interface der letzten 30 Tage sichten (Zeitraum an CISA-KEV-Aufnahmedatum orientieren).
  • Credential-Rotation für interne Dienste: Alle Credentials (Service-Accounts, API-Keys, LDAP-Bind-Passwörter), auf die die SMA1000 Zugriff hat oder die sie für Backend-Authentifizierung nutzt, als potenziell kompromittiert behandeln und rotieren.

Runbook · Schritt 2

Mitigation-Layer

  • Netzwerksegmentierung: SMA1000-Appliances in ein dediziertes DMZ-Segment isolieren. Ausgehende Verbindungen der Appliance nur zu explizit benötigten Backend-Diensten (LDAP/AD, RADIUS) auf definierten Ports erlauben; alle anderen Ziele blockieren (Default-Deny-Egress).
  • WAF/Reverse-Proxy vorschalten: Einen Web Application Firewall-Layer vor das Work Place-Interface schalten. Regeln definieren, die HTTP-Anfragen mit internen RFC-1918-Adressen, Loopback (127.0.0.1) oder Cloud-Metadaten-Adressen (169.254.169.254) im Request-Pfad oder Host-Header blockieren.
  • IPS-Signatur aktivieren: Im vorgelagerten IPS/NGFW eine Signatur für SSRF-Muster auf Port 443 (Work Place-Interface) aktivieren. Suricata-Beispielregel: alert http any any -> $SMA1000_IP 443 (msg:"SSRF attempt SMA1000 Workplace"; content:"@"; http_uri; pcre:"/https?:\/\/(169\.254|10\.|192\.168|172\.(1[6-9]|2[0-9]|3[01]))/i"; sid:9000001; rev:1;)
  • Least-Privilege für Appliance-Dienstkonten: Sicherstellen, dass der Dienstaccount der SMA1000 im Active Directory nur die minimal notwendigen Berechtigungen besitzt (kein Domain-Admin, kein Zugriff auf Tier-0-Systeme). LDAP-Bind-Account auf Read-Only beschränken.
  • Cloud-Metadaten-Endpunkte blockieren: Auf Hypervisor- oder Cloud-Ebene (AWS IMDSv1 deaktivieren, IMDSv2 erzwingen; Azure IMDS-Zugriff einschränken) sicherstellen, dass die Appliance keinen Zugriff auf Instanz-Metadaten-Dienste erhält.

Runbook · Schritt 3

Detection-Regeln

  • Web-Server-Accesslogs (SMA1000 Work Place): Anomale ausgehende HTTP-Anfragen, die durch die Appliance initiiert werden und interne RFC-1918-Ziele oder Metadaten-Endpunkte enthalten. Log-Pattern: GET /workplace/.*url=http[s]?://(10\.|192\.168\.|172\.1[6-9]\.|169\.254\.) — Alarm bei jedem Treffer.
  • Netzwerk-Telemetrie (Zeek/Suricata): Verbindungen von der SMA1000-Appliance-IP zu internen Hosts auf ungewöhnlichen Ports (z. B. 8080, 8443, 2375 Docker-API, 6443 Kubernetes-API) oder zu 169.254.169.254. Zeek-Notice oder Suricata-Alert auf id.orig_h == $SMA1000_IP && id.resp_p in [8080,8443,2375,6443].
  • Sigma-Regel (Proxy-/Firewall-Logs): 
    title: SMA1000 SSRF Outbound to Internal
logsource: category: proxy
detection:
  selection:
    src_ip: '<SMA1000_IP>'
    dst_ip|cidr:
      - '10.0.0.0/8'
      - '172.16.0.0/12'
      - '192.168.0.0/16'
      - '169.254.0.0/16'
  condition: selection
  • SIEM-Korrelation (SPL-Snippet): index=firewall src_ip="<SMA1000_IP>" dest_ip IN ("10.*","192.168.*","172.16.*","169.254.*") | stats count by dest_ip, dest_port | where count > 5 — Schwellenwert an Baseline anpassen.
  • Authentifizierungsanomalien: Nach SSRF-Ausnutzung können gestohlene Tokens für laterale Bewegung genutzt werden. Windows Event ID 4624 (Logon Type 3) von unbekannten Quell-IPs auf Tier-0/Tier-1-Systemen innerhalb von 1 h nach SMA1000-Anomalie korrelieren.

Metriken

Severity
critical
Priority-Score
236.07
KEV-Status
Aktiv ausgenutzt
Exploit-Reife
aktiv ausgenutzt (KEV)
XIEM Effective CVSS
10.0
Quelle: nvd-v3
CVSS v3
10.0
CVSS v4
—
EPSS-Perzentil
99.7 %
Kritisch — CVE liegt im obersten Fünftel aller heute bewerteten CVEs (Rang ≥ 80 %).
EPSS-Score
83.7 %
Hoch — Modell schätzt ≥ 50 % Chance auf reale Ausnutzung in 30 Tagen.
Veröffentlicht
2026-07-14 00:00 UTC
CWE
CWE-918

Weakness-Klassen (CWE)

  • CWE-918Base

    Server-Side Request Forgery (SSRF)

    The web server receives a URL or similar request from an upstream component and retrieves the contents of this URL, but it does not sufficiently ensure that the request is being sent to the expected destination.

    cwe.mitre.org →

Betroffene Betriebssysteme

  • other

    sonicwall / sma6210_firmware12.4.3-03245

  • other

    sonicwall / sma6210_firmware12.4.3-03387

  • other

    sonicwall / sma6210_firmware12.4.3-03434

  • other

    sonicwall / sma6210_firmware12.5.0-02283

  • other

    sonicwall / sma6210_firmware12.5.0-02624

  • other

    sonicwall / sma6210_firmware12.5.0-02800

  • other

    sonicwall / sma7210_firmware12.4.3-03245

  • other

    sonicwall / sma7210_firmware12.4.3-03387

  • other

    sonicwall / sma7210_firmware12.4.3-03434

  • other

    sonicwall / sma7210_firmware12.5.0-02283

  • other

    sonicwall / sma7210_firmware12.5.0-02624

  • other

    sonicwall / sma7210_firmware12.5.0-02800

Betroffene Produkte

Aus der Hersteller-/CERT-Meldung extrahierte Produkte und Versionsbereiche. Ein Version-Range wie „<4.14.6“ impliziert die Update-Empfehlung „auf 4.14.6 oder höher aktualisieren“.

  • sonicwall

    sma8200v

Öffentliche Exploit-Referenzen

Öffentliche Proof-of-Concepts und Detection-Templates für diese Schwachstelle. Die Reife reicht von gemeldeten PoCs über funktionsfähige Detection-Skripte bis hin zu vollständig waffenfähigen Exploit-Modulen. NEOSEC mirrort den Code intern für forensische Analysen; nach außen verlinken wir ausschließlich auf die Original-Quellen.

Quellen & Referenzen

Verknüpfte Empfehlungen

IDCVE-2026-15409