Zum Inhalt springen
StartAdvisoriesRansomwareCW-PodcastPodcastsBücherCreatorsSpeakerFirmenKarriereEventsCB-NetzwerkMatrix-ServerFAQBesucherstatistikFormulareSuche
CVE-2026-15410HighCVSS: 7.2

SonicWall SMA1000: Code-Injection im AMC erlaubt Remote-Ausführung

Ein Code-Injection-Schwachstelle im Appliance Management Console (AMC) der SonicWall SMA1000-Serie ermöglicht einem authentifizierten Administrator die Ausführung beliebiger OS-Befehle. Die Schwachstelle wird aktiv ausgenutzt. Ein Hotfix ist verfügbar.

METADATEN

Entdeckt:
14.07.2026
Patch verfügbar:
Ja

BETROFFENE SYSTEME

  • •SonicWall SMA1000 12.4.3-03245 ≤12.4.3-03434
  • •SonicWall SMA1000 12.5.0-02283 ≤12.5.0-02800

Zusammenfassung

Eine Schwachstelle der Schwere High (CVSS 7.2) wurde in der SonicWall SMA1000 Appliance Management Console (AMC) identifiziert. Die als CVE-2026-15410 kategorisierte Code-Injection-Schwachstelle (CWE-94) ermöglicht es einem remote authentifizierten Angreifer mit Administratorrechten, unter bestimmten Bedingungen beliebige Betriebssystembefehle auszuführen.

Wichtig: SonicWall PSIRT hat festgestellt, dass diese Schwachstelle aktiv ausgenutzt wird. Kunden werden dringend aufgefordert, so schnell wie möglich auf die Hotfix-Version zu aktualisieren.

Technische Details

Eigenschaft Wert
CVE-ID CVE-2026-15410
CVSS v3 Score 7.2 (High)
CVSS Vector CVSS:3.0/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
CWE CWE-94 — Improper Control of Generation of Code
Angriffstyp Post-Authentifizierung Code Injection
Voraussetzung Administrator-Zugang zur AMC-Konsole
Vertraulichkeit Hoch (C:H)
Integrität Hoch (I:H)
Verfügbarkeit Hoch (A:H)
Bekannter Exploit Ja — aktive Exploitation wird beobachtet

Die Schwachstelle befindet sich in der Appliance Management Console (AMC) der SMA1000-Serie. Ein Angreifer, der sich bereits als Administrator authentifiziert hat, kann unter bestimmten Umständen beliebige OS-Befehle auf dem Gerät ausführen. Der Angriff erfordert Network-Zugang (AV:N) und administrator-level Privilegien (PR:H) — ein kompromittiertes Admin-Konto wird benötigt.

Betroffene Systeme

Produkt Betroffene Versionen
SonicWall SMA1000 (Modelle 6210, 7210, 8200v) 12.4.3-03245, 12.4.3-03387, 12.4.3-03434 (platform-hotfix)
SonicWall SMA1000 (Modelle 6210, 7210, 8200v) 12.5.0-02283, 12.5.0-02624, 12.5.0-02800 (platform-hotfix)

Hinweis: Diese Schwachstelle betrifft nicht SSL-VPN auf SonicWall Firewalls oder die SMA 100-Serie.

Empfehlungen und Maßnahmen

Sofortige Maßnahmen

  1. Hotfix installieren — Aktualisieren Sie so schnell wie möglich auf die neueste Hotfix-Version:

    • Version 12.4.3-03453 (platform-hotfix) oder höher
    • Version 12.5.0-02835 (platform-hotfix) oder höher
    • Die neueste platform-hotfix ist unter mysonicwall.com verfügbar

  2. Forensische Analyse durchführen — Überprüfen Sie das System auf Anzeichen einer Kompromittierung (IoCs):

    • Einträge in extraweb_access.log mit Requests zu api/login oder api/logout mit HTTP-Status 200
    • Einträge in extraweb_access.log mit verdächtigen Requests zu wsproxy mit HTTP-Status 101
    • Hotfix-Rollbacks mit Path-Traversal-Namen in ctrl-service.log
    • Routen für api/login oder api/logout in /var/lib/unit/conf.json

Bei nachgewiesener Kompromittierung

  1. System neu aufsetzen — Hardware-Appliance neu flashen oder virtuelle Appliance neu deployen
  2. Passwörter zurücksetzen — Alle Benutzer- und Administratorkennwörter ändern
  3. TOTP-Token zurücksetzen — Alle Multi-Factor-Authentifizierung-Token erneuern

Workaround

Kein Workaround verfügbar — ein Upgrade ist die einzige Maßnahme.

Quellen

REFERENZEN