SonicWall SMA1000-sårbarhet utsätts för exploateringsförsök

Angripare riktar in sig på en sårbarhet med högsta allvarlighetsgrad i SonicWall SMA1000-enheter, enligt en säkerhetsforskare som talat med BleepingComputer. SonicWall har åtgärdat sårbarheten, som spåras som CVE-2026-102255, i ett säkerhetsmeddelande på tisdagen.

Sårbarheten påverkar gränssnittet Appliance WorkPlace på modellerna SMA1000 6210, 7210 och 8200v. SonicWall uppger att SMA 100 Series och SSL-VPN som körs på SonicWall-brandväggar inte påverkas. Företaget varnade för att en fjärrangripare utan autentisering potentiellt kan få enheten att skicka förfrågningar för angriparens räkning, nå interna funktioner och utföra obehöriga åtgärder.

Ryan Dewhurst, grundare av Previdian, sade till BleepingComputer på fredagen att företagets honeypotnätverk hade upptäckt försök som stämde överens med exploatering. Han beskrev specialformade OPTIONS-förfrågningar mot gränssnittet WorkPlace Extraweb, med försök att nå enhetens interna CouchDB-tjänst på 127.0.0.1:5984. Aktiviteten innehöll en HTTP Basic Authorization-header med inloggningsuppgifterna admin:admin.

Dewhurst sade att aktiviteten stämde överens med pågående exploateringsförsök, men att Previdian inte hade fastställt om några system hade komprometterats. Shadowserver spårar fler än 400 SMA1000-enheter som är exponerade på internet; det är okänt hur många som är honeypots eller har uppdaterats.

SMA1000-gateways används av leverantörer av hanterade tjänster, företag och myndigheter för fjärråtkomst till interna appar och nätverk. Källan nämner också tidigare SMA1000-sårbarheter som utnyttjats i attacker, men fastslår inget samband mellan dessa händelser och de aktuella försöken.