Trusted Design

CVE-2026-83549 の詳細

CVEの情報

説明:
Post-authentication Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') vulnerability has been identified in the SMA1000 Appliance Management Console (AMC) which in specific conditions could potentially enable a remote authenticated attacker as administrator to execute arbitrary OS commands, resulting in remote code execution.

CVE更新日: 2026-09-01 22:17:13.290000

CVSSバージョン: 3.1

CVSSスコア: 7.8

KEVの情報

KEV更新日: 2026-09-02

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.098890000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2026-83549に関する脆弱性調査結果を以下に解説します。

1. 脆弱性の概要

CVE-2026-83549は、SonicWall SMA1000アプライアンス管理コンソール（AMC）における認証後のOSコマンドインジェクションの脆弱性（CWE-78）です。リモートの認証済み攻撃者が管理者権限を持つ場合、不適切に無効化された特殊要素を介して任意のオペレーティングシステムコマンドを挿入することが可能です。この脆弱性を悪用すると、影響を受けるアプライアンス上でリモートコード実行（RCE）が可能になります。

この脆弱性は、CISAの既知の悪用されている脆弱性（KEV）カタログに登録されており、実環境での積極的な悪用が確認されています。 また、CVSS v3.1基本スコアは7.8で、「高」の深刻度に分類されます。

1.1 影響

  • 影響を受けるアプライアンス上でのリモートコード実行 (RCE) が発生する可能性があります。
  • CVE-2026-83548（認証前SSRFの脆弱性）と連携して悪用された場合、認証されていないリモートコード実行が可能となり、内部リソースへの不正アクセス、悪意のあるコマンドの実行、認証情報の窃取、永続化、および影響を受ける環境内での横方向への移動を可能にする可能性があります。

1.2 深刻度

  • 高 (High)
  • CVSS v3.1 基本スコア: 7.8

2. 対象となる環境

2.1 影響を受けるOSバージョン

  • SonicWall SMA1000アプライアンスのファームウェアバージョン：12.4.3-03453および12.5.0-02835が影響を受けます。
  • 具体的には、12.4.3ブランチおよび12.5.0ブランチのシステムが対象です。

2.2 影響を受ける設定

  • 単独で悪用される場合、認証済みの管理者アカウントと特定のシステム条件が必要です。
  • CVE-2026-83548と連携されることで、認証なしに悪用される可能性があります。
  • 影響を受ける製品/コンポーネント: SonicWall SMA1000アプライアンス、特にAppliance Management Console (AMC)。
  • 影響を受けるモデル: SMA1000モデル 6210、7210、および8200v (物理および仮想の両方)。
  • 影響を受けない製品: SonicWallファイアウォール上で動作するSSL-VPNサービスおよびSMA 100シリーズ製品は影響を受けません。

3. 影響を受けた時の兆候

以下のような兆候が見られる場合があります。

  • SMA1000アプライアンス上のAMCサービスバイナリによって予期しない子プロセスが生成される。
  • AMC監査ログエントリに、セミコロン (;)、パイプ (|)、アンパサンド (&)、またはバッククォート (`) などのシェルメタ文字を含む管理者によるアクションが記録されている。
  • 管理者の活動後、アプライアンスから見慣れないホストへの外部ネットワーク接続が発生する。
  • AMC管理者セッション後まもなく、新規または変更されたファイル、スケジュールされたタスク、またはcronエントリが作成される。
  • ローカルの認証情報、セッションデータベース、およびTOTP MFAシードの収集（両方のCVEを悪用する関連攻撃で観測されています）。

4. 推奨対策

4.1 本対策

  • SonicWallが提供する最新のプラットフォームホットフィックスを直ちに適用してください。
  • 影響を受けるアプライアンスを以下のバージョンにアップグレードしてください。
    • 12.4.3ブランチのシステムの場合: 12.4.3-03526プラットフォームホットフィックス。
    • 12.5.0ブランチのシステムの場合: 12.5.0-02952プラットフォームホットフィックス、またはそれ以降のバージョン。

4.2 暫定回避策（緩和策）

  • この脆弱性（およびCVE-2026-83548）に対する回避策は存在しません。
  • 侵害が疑われる、または確認された場合は、以下の措置を講じてください。
    • SonicWallテクニカルサポートに連絡し、影響を受けるアプライアンスの侵害の兆候（IoCs）を確認してもらう。
    • 影響を受ける物理アプライアンスを再イメージングするか、影響を受ける仮想アプライアンスを再デプロイする。
    • すべてのユーザーおよび管理者パスワードを変更する。
    • 窃取された可能性のある認証要素を無効にするため、すべてのTOTPトークンをリセットする。
  • 公開前の積極的な悪用があったため、組織はパッチ適用のみに頼って、アプライアンスがすでに侵害されていないかを判断すべきではありません。

その他に解説すべき観点

  • この脆弱性は、CVE-2026-83548とともに積極的に悪用されており、その重要性を示しています。
  • SonicWall SMA1000アプライアンスはネットワークエッジシステムとして機能するため、インターネットに直接公開される可能性があり、悪用が成功した場合の懸念が特に高まります。
  • これらの脆弱性は、SonicWallによって内部で発見されました。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る