BEDROHUNG
SonicWall bestätigt, dass Angreifer zwei Schwachstellen in SMA1000-Appliances in einer Angriffskette ausnutzen und darüber Remote Code Execution erreichen. CVE-2026-83548 ist eine Pre-Authentication Server-Side Request Forgery im WorkPlace-Interface, bewertet mit dem maximalen CVSS-Score von 10.0. Nicht authentifizierte Angreifer erhalten darüber Zugriff auf sensible Funktionen und können unautorisierte Befehle absetzen. Die zweite Lücke, CVE-2026-83549, erlaubt bereits als Administrator authentifizierten Angreifern eine Command Injection in der Management Console und damit die Ausführung beliebiger Betriebssystembefehle.
Betroffen sind die Modelle 6210, 7210 und 8200v. SSL-VPN-Funktionen auf SonicWall-Firewalls und die SMA 100 Series bleiben außen vor. Wer hinter den Angriffen steht und wie viele Systeme betroffen sind, ist bislang offen. Hotfixes stehen bereit. Bei Hinweisen auf eine Kompromittierung rät der Hersteller, die Geräte neu aufzusetzen, alle Benutzer- und Administratorkennwörter zu ändern und TOTP-Token zurückzusetzen.
Was jetzt zu tun ist:
- Hotfixes umgehend einspielen
- Systeme auf Kompromittierungsspuren prüfen
- Bei Verdacht Geräte neu aufsetzen, Kennwörter ändern und TOTP-Token zurücksetzen
PRÄVENTION & DETEKTION
Mit Endpoint Detection & Behavioral Detection lässt sich die Ausnutzung dieser Schwachstellen durch die Erkennung auffälliger Verhaltensmuster wie unerwartete Prozessausführungen, Shell-Aufrufe, Command-Injection-Aktivitäten, ungewöhnliche Netzwerkverbindungen oder privilegierte Befehlsausführungen auf der SMA1000-Appliance identifizieren, die auf eine erfolgreiche Remote Code Execution hindeuten.
Autor: Christoph Kronabel
