SonicWall VPN機器でroot権限奪取、正体不明の攻撃者がゼロデイ2件を連鎖悪用

二つのゼロデイを鎖のようにつなぐ #

SonicWallのVPNゲートウェイ「Secure Mobile Access(SMA)1000シリーズ」で、正体不明の攻撃者集団が公開前のゼロデイ脆弱性を悪用し、機器のroot権限を奪っていたことが判明した。米セキュリティ企業Volexityはこの攻撃者を新規の脅威アクター「UTA0533」として追跡している。

悪用されたのは、認証前にWebSocketトンネルを確立できるバイパス脆弱性(CVE-2026-15409、CVSS10.0)と、パストラバーサル型の権限昇格脆弱性(CVE-2026-15410、CVSS7.2)の2件。前者でローカル限定サービスに侵入し固有UUIDファイルを読み取って認証を回避、後者でroot権限の任意コマンド実行に到達するという、教科書的な連鎖悪用だった。侵入の痕跡は6月22日まで遡り、SonicWallの公表・パッチ配布は7月中旬。攻撃者は3週間以上、未知のバグを独占的に使い続けていたことになる。

setuidバイナリとBehinder風ウェブシェルで居座る #

侵入後、攻撃者は一般ユーザーでもroot権限のコマンド実行を可能にするsetuidバイナリ「ROOTRUN」を設置し、続けてPython製ツール「KNUCKLEBALL」でオープンソースのHTTPプロキシ「Suo5」と、著名な中華系ウェブシェル「Behinder」に酷似したJava製バックドア「ORANGETAIL」を機器の正規プロセスへ注入した。侵害された機器の一つでは、LDAPの平文トラフィックをtcpdumpで監視し利用者の認証情報を盗み取ろうとした形跡も確認されている。

幸い横展開の成功度は低かったとされるが、VPN機器は社内ネットワークへの「玄関」そのものであり、ここでの認証情報窃取は他システムへの侵入口を丸ごと明け渡しかねない。

VPNアプライアンスという"ブラックボックス"の怖さ #

今回の一件が突きつけるのは、VPN機器の中身が利用者から見えないまま、脆弱性の発見から公表までの期間を攻撃者だけが独占できるという構図だ。SMA 1000シリーズの利用者はパッチ適用に加え、ログイン履歴やLDAP通信の異常監視も急ぐべきだろう。境界に置かれたVPNゲートウェイのゼロデイは今年に入り複数ベンダで相次いでおり、「境界防御そのものが攻撃者の最初の標的であり続ける」現実を改めて示す事例といえる。