SonicWallが公表した最近のセキュリティアラートによると、SMA1000アプライアンスに存在する2件のリモート悪用可能なゼロデイ脆弱性が連鎖的に悪用され、リモートコード実行に至っていることが判明しました。SMA1000アプライアンスはセキュアリモートアクセスおよびVPN接続に使用されるため、インターネットに公開されているケースが多くなっています。
脆弱性の1つであるCVE-2026-83548は、Appliance Work Placeインターフェースに存在する認証前サーバーサイドリクエストフォージェリ(SSRF)の重大な問題で、コマンドインジェクションを許してしまいます。この脆弱性にはCVSS v3.1で最高値となる10.0の深刻度スコアが割り当てられています。悪用に成功すると、リモート攻撃者は機密性の高い機能にアクセスし、不正な操作を実行できるようになります。
この脆弱性は、Appliance Management Consoleに存在する深刻度の高い(CVSS v3.1: 7.8)OSコマンドインジェクション脆弱性であるCVE-2026-83549のエクスプロイトと連鎖して悪用されています。管理者権限を持つ攻撃者はこの脆弱性を悪用してOSコマンドを実行できます。原因は、OSコマンドで使用される特殊要素の無害化が不適切であることにあります。
SonicWallのPSIRTは、脅威アクターがこれら2つの脆弱性を連鎖させて顧客に対する攻撃を仕掛けた事例を調査しました。米サイバーセキュリティ・インフラセキュリティ庁(CISA)は両脆弱性を「既知の悪用された脆弱性」(KEV)カタログに追加しており、連邦政府の文民行政機関には土曜日までに最新のホットフィックスへアップグレードするよう猶予が与えられています。
これらの脆弱性はSMA1000の6210、7210、8200vの各モデルに影響しますが、SonicWallファイアウォール上で稼働するSSL-VPNやSMA 100シリーズ製品には影響しません。対象となるソフトウェアバージョンは12.4.3-03453(platform-hotfix)以前、および12.5.0-02835(platform-hotfix)以前です。
これらの脆弱性がどの程度悪用されているかは、まだ明らかになっていません。今回の攻撃は、SMA1000アプライアンスに存在する別の2件の脆弱性がマルウェア設置に悪用され、ランサムウェア攻撃を可能にしていたことが判明してから、わずか2カ月後に発生しています。脅威アクターがリモートアクセス・VPNアプライアンスの脆弱性を積極的に狙っている以上、脆弱なデバイスを利用しているユーザーには、できるだけ早く最新のホットフィックスへアップグレードすることを強く推奨します。現時点で、世界中でオンラインに公開されているSMA1000デバイスは約400台に上り、その大半が米国に存在しています。
翻訳元: https://www.hipaajournal.com/sonicwall-actively-exploited-vulnerabilities-sma1000-appliances-sep-26/
