UTA0533として追跡されている新たに発覚した脅威アクターが、2つのゼロデイ脆弱性を連鎖させてSonicWall Secure Mobile Access(SMA)1000シリーズVPNアプライアンスを侵害し、root権限でのコマンド実行を実現していたことが明らかになりました。
この攻撃キャンペーンは2026年7月上旬、あるインシデント対応調査の過程で発見されました。不審な認証試行と横展開の痕跡を追跡したところ、これらのアプライアンスにたどり着いたということです。
今回の攻撃では、SonicWall WorkPlaceの/wsproxy WebSocketコンポーネントに存在するCVSSスコア10.0の深刻なSSRF脆弱性CVE-2026-15409と、ctrl-serviceのremove_hotfixワークフローに存在するCVSSスコア7.2の重大なパストラバーサル/コマンドインジェクション脆弱性CVE-2026-15410が悪用されました。
攻撃者は「SMA Connect Agent」というユーザーエージェントを使い、-3389から始まるbmIDパラメータを付与した未認証リクエストを送信することで、CouchDB(ポート1050)やSMA制御サービス(ポート8188)といったlocalhost限定サービスへのWebSocketトンネルを確立していました。
続いて攻撃者は、CouchDBのデフォルト管理者資格情報「admin:admin」を悪用し、アプライアンスのハードウェアUUIDを読み取る悪意あるスクリプトを書き込みました。その後、脆弱なremove_hotfixのパストラバーサルを引き金にして、このスクリプトをroot権限で実行させています。
Volexityは、この一連の攻撃手順を5つのステップにまとめています。すなわち、/wsproxy経由でのトンネル確立、CouchDBへのファイル読み書きアクセスの取得、/tmp内へのペイロード配置、product_uuidファイルの読み取り、そしてトラバーサルパスを用いたexecRemoveHotfixの呼び出しによるroot権限での実行、という流れです。
Volexityによれば、影響を受けるのはSMA 1000シリーズのモデル6210、7210、8200vのうち、パッチ済みバージョンである12.4.3-03453および12.5.0-02835より前のバージョンを実行している機器だということです。
root権限を獲得した後、UTA0533はROOTRUNと呼ばれるsetuid権限昇格バイナリと、KNUCKLEBALLというPython製インジェクターを展開しました。KNUCKLEBALLは正規のSonicWallプロセスに2つのJavaペイロードを読み込ませるもので、その内訳はオープンソースのプロキシツールSuo5と、ORANGETAILと名付けられたBehinder系のカスタムWebシェルです。
永続化については、アプライアンスのinit.d起動スクリプトを改変し、nginxのルーティングを書き換えることで、ログイン・ログアウトのエンドポイントを装ったパスを通じてこれらのインプラントを外部からアクセス可能にしていました。
Volexityは、2台目の侵害されたアプライアンスにおいて、攻撃者が認証情報を窃取する目的でtcpdumpを使い、暗号化されていないLDAPトラフィックを盗聴していた痕跡を発見しています。
これらの脆弱性はその後、CISAの既知の悪用済み脆弱性(KEV)カタログに追加されました。回避策が存在しないため、SonicWallは直ちにパッチを適用するよう強く呼びかけています。
組織に対しては、find / -perm -4000を用いて不正なsetuidバイナリの有無を確認すること、/var/lib/unit/conf.jsonを調査して不審なプロキシルートがないか確認すること、そして今回の悪用に関連する/wsproxyおよび/_api_へのアクセスパターンについてアプライアンスのログを見直すことが推奨されています。
Rapid7のマネージド検知チームも独自にこの攻撃が実際に行われていることを確認しており、侵害が疑われる物理アプライアンスについてはフォレンジック調査を行うか、完全な再イメージ化を実施するよう推奨しています。
注目すべきは、攻撃者によるWebシェルへのアクセスが200を超えるIPアドレスから行われていたことです。その中には商用VPNサービスに関連するものも複数含まれており、意図的にインフラを難読化していたことがうかがえます。
より強固な予防的防御で、重大インシデントと金銭的損失を未然に防ぎましょう。15,000のSOCが利用するライブ脅威フィードを統合
翻訳元: https://cyberpress.org/sonicwall-sma-zero-day-chain/
