LONDON (IT BOLTWISE) – Die Angreifer UTA0533 sollen SonicWall-SMA-1000-VPN-Geräte bereits mit zwei Zero-Days angegriffen haben, bevor die Schwachstellen öffentlich bekannt wurden. Laut Volexity führte die Kette über eine wsproxy-Umgehung zu WebSocket-Tunneling zu lokal erreichbaren Diensten und endete mit Root-Rechten. Betroffen sind zwei Geräte der kompromittierten Organisation, die noch nicht genannt wurde. SonicWall hat die Patches inzwischen veröffentlicht, aber die Details zeigen, wie schnell sich solche Angriffe nach Disclosure-Einträgen ausweiten können.
Bei SonicWall Secure Mobile Access (SMA) 1000 häufen sich die Warnsignale: Ein Threat Actor unter dem Namen UTA0533 wird mit der Ausnutzung von zwei Zero-Days in der Phase vor der öffentlichen Offenlegung in Verbindung gebracht. Laut Volexity begann die beobachtete Aktivität bereits am 22. Juni 2026; die öffentliche Veröffentlichung der Schwachstellen folgte erst später. Der Angriff zielt nicht auf einen simplen Dienstabbruch, sondern auf einen vollständigen Kontrollgewinn: Von der ersten Umgehung bis zum Root-Zugriff wurde eine mehrstufige Kette aufgebaut, in der sowohl Websocket-Tunneling als auch Implantate für nachgelagerte Prozesse vorkommen. Im Kern zeigt das, wie eng Disclosure-Zeitfenster und Ausnutzungsrealität zusammenhängen.
Technisch setzt die Kette bei einer pre-authentication Umgehung an, beschrieben als „/wsproxy“-Bypass. Dabei soll eine nicht authentifizierte Anfrage mit passendem User-Agent auf „SMA Connect Agent“ und einem bmID-Wert beginnend mit „-3389“ in der Lage sein, einen WebSocket-Tunnel zu lokalen, sonst nur localhost-gebundenen Services aufzuspannen. Damit wird aus dem Internet heraus Zugriff auf interne Endpunkte möglich, die für Authentifizierte gedacht sind. Sobald dieser Tunnel steht, können Methoden des „sysCtrl“-Bereichs adressiert werden, was wiederum den Einstieg in Command-Injection- und Code-Execution-Wege eröffnet. Für die nächsten Schritte ist die Kette auf CVE-2026-15410 und deren Interaktion mit dem SMA control service ausgelegt.
Für den Eskalationsschritt nennen die Analyse die CVE-2026-15409 und CVE-2026-15410: erstere mit einem CVSS-Score von 10,0 und letztere mit 7,2. Beide werden so charakterisiert, dass sie sich kombinieren lassen, um willkürliche Kommandos auszuführen und anfällige Geräte zu übernehmen. SonicWall hat laut Bericht Patches für beide Schwachstellen in der laufenden Woche bereitgestellt. Der Angriffsverlauf wurde in zwei betroffenen Appliances nachvollzogen: In „Appliance 1“ wurden unter anderem ein setuid-ähnliches ROOTRUN-Setup sowie ein Deploy-Skript platziert, das zwei JAR-Archive in einen legitimen SonicWall-Prozess einbindet. Die Implantate beinhalten dabei auch eine Behinder-ähnliche Webshell, die über internetfähige URI-Pfade ansprechbar wird.
Das Marktumfeld macht die Relevanz deutlich: Rapid7 verweist darauf, dass der Angriff die Authentifizierungsgrenzen nicht nur durch technische Schwachstellen überbrückt, sondern anschließend weitere weniger gehärtete lokale Komponenten erreichen kann, etwa eine Erlang-Komponente auf localhost: 1050 oder Anwendungen des „ctrl-service“ auf localhost: 8188. Daneben taucht eine separate Schwachstelle auf, die einen Authentifizierungsbypass gegen den ctrl-service ermöglichen soll: Das Basic-Auth-Passwort soll aus dem hardware-seitigen „product_uuid“ abgeleitet sein, wobei „/sys/class/dmi/id/product_uuid“ für unprivilegierte Nutzer lesbar ist. Wichtig ist: Diese Bypass-Option sei im beobachteten Incident wohl nicht genutzt worden; stattdessen diente sie eher als zusätzlicher Risikofaktor im Gesamtsystem. Für Unternehmen bedeutet das, dass Patchen allein nicht reicht, wenn sich alternative Pfade in der Angriffsfläche aufbauen lassen.
Ein Detail unterstreicht zudem, wie präzise solche Operationen vorbereitet werden. Volexity beschreibt für Appliance 2 weniger persistente Artefakte nach einem Reboot am 2. Juli 2026; dadurch seien speicherresident gehaltene Backdoors entfernt worden. Gleichzeitig sollen in „/tmp“-Verzeichnissen der ersten Appliance zusätzliche Dateien gefunden worden sein, darunter eine Datei „/tmp/hypdate.b64“, die einen Exploit für CVE-2026-15410 enthält. Die Forschenden erklären, die Dateien in „/tmp“ seien vom unprivilegierten Account der internen Database Service-Komponente belegt gewesen. Daraus folgt: Der Angreifer konnte über den Service-Kontext Dateien nicht nur schreiben, sondern sehr wahrscheinlich auch ausführen. Nicht nur die Schwachstellen, auch die Ausführungswege sind in solchen Kampagnen entscheidend.
Während die ursprüngliche Kette über Websocket-Tunneling und lokale Services führt, kommt ein weiterer Baustein hinzu: CouchDB, das als Teil der SMA Appliance vorinstalliert sein soll und lokal erreichbar ist. Laut Bericht wird UTA0533 mit der Ausnutzung von CouchDB in Verbindung gebracht, wobei die genauen Schritte unklar bleiben. Plausibel ist jedoch, dass der CouchDB-Nutzer genutzt wurde, um „product_uuid“ zu lesen und so Authentifizierungsmechanismen zu umgehen oder zumindest die Eskalationsvorbereitung zu verbessern. Mit dieser Capability kann ein Angreifer dann weniger gehärtete Services adressieren und anschließend über den ctrl-service in Richtung Code-Execution gelangen. Das Zusammenspiel von Datenbankzugriffen und Prozesskontexten ist genau die Stelle, an der Sicherheits-Teams in der Praxis häufig zu spät ansetzen.
Auf der Exploit-Ebene zeigt ein Proof-of-Concept, wie aus dem theoretischen Websocket-Tunnel ein praktischer Remote-Code-Execution-Weg wird. Der PoC beschreibt, dass nicht-root Remote Code Execution auf SonicWall SMA 1000 möglich sein soll, indem der Erlang-Protokoll-Dialog erwartet von localhost: 1050 implementiert und über den Websocket-Tunnel transportiert wird. Danach sollen RPC-Aufrufe (Remote Procedure Calls) genutzt werden, um Datei-Lese- und -Schreiboperationen sowie schließlich willkürliche Code-Execution zu ermöglichen. Die gesicherte Kettenlogik wirkt dabei wie ein Lehrbuch für Angriffsarchitektur: Zuerst wsproxy, dann WebSocket-Tunnel, dann CouchDB, dann staging in „/tmp“, danach Root-Eskalation über CVE-2026-15410. Damit wird die gesamte Kette messbar, aber auch schwer zu stoppen, wenn das Gerät bereits kompromittiert ist.
Für die Zukunft leiten sich klare Konsequenzen ab. Erstens sollten SMA-Administratoren nicht nur Patches für CVE-2026-15409 und CVE-2026-15410 zeitnah einspielen, sondern auch die Implementierung der lokalen Pfade prüfen, die über wsproxy und die sysCtrl/ctrl-service-Interaktionen erreichbar werden. Zweitens ist eine aktive Threat-Hunting-Strategie nötig, die speziell nach Upload-/Deploy-Artefakten, Webshell-Indikatoren und nach Manipulationen an Init-/Startup-Skripten sucht. Drittens sollten Logs und Gedächtnisinhalte aus Incident-Response-Sicht so priorisiert werden, wie Volexity es durch die Analyse von Systemmemory und Verzeichnisartefakten getan hat. Wer das Fenster zwischen Disclosure, Patch und aktiver Ausnutzung ernst nimmt, erhöht die Chance, Kompromittierungen früher zu erkennen. Für Entwickler und IT-Betrieb bedeutet das außerdem: Zero-Trust im Sinne strikter Trennung lokaler Services vom öffentlichen Edge muss als Architekturprinzip behandelt werden, nicht als nachträgliche Härtung.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "SonicWall SMA: UTA0533 nutzt Zero-Days vor Patch-Veröffentlichung für Root-Zugriff" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "SonicWall SMA: UTA0533 nutzt Zero-Days vor Patch-Veröffentlichung für Root-Zugriff" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »SonicWall SMA: UTA0533 nutzt Zero-Days vor Patch-Veröffentlichung für Root-Zugriff« bei Google Deutschland suchen, bei Bing oder Google News!