Avis du CERT-FR
Objet : Multiples vulnérabilités dans Sonicwall Secure Mobile Access
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risques
- Exécution de code arbitraire à distance
- Falsification de requêtes côté serveur (SSRF)
- Injection de code indirecte à distance (XSS)
Systèmes affectés
- SMA1000 versions 12.5 antérieures à 12.5.0-03082
- SMA1000 versions antérieures à 12.4.3-03670
Résumé
De multiples vulnérabilités ont été découvertes dans Sonicwall Secure Mobile Access. Certaines d'entre elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance, une falsification de requêtes côté serveur (SSRF) et une injection de code indirecte à distance (XSS).
L'éditeur ne fait pas mention d'exploitations actives pour le moment.
Cependant, le CERT-FR rappelle que des combinaisons de deux vulnérabilités, l'une permettant à un attaquant authentifié d'exécuter du code arbitraire à distance, facilitée par l'autre (de type SSRF) permettant de contourner cette authentification, ont déjà été activement exploitées à plusieurs reprises cette année sur ce produit (cf. section Documentation).
Solutions
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
-
Bulletin de sécurité SonicWall SNWLID-2026-0017 du 06 octobre 2026
https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2026-0017 -
Alerte CERT-FR CERTFR-2026-ALE-006 du 15 juillet 2026
/alerte/CERTFR-2026-ALE-006/ -
Alerte CERT-FR CERTFR-2026-ALE-009 du 02 septembre 2026
/alerte/CERTFR-2026-ALE-009/ -
Référence CVE CVE-2026-102255
https://www.cve.org/CVERecord?id=CVE-2026-102255 -
Référence CVE CVE-2026-102256
https://www.cve.org/CVERecord?id=CVE-2026-102256 -
Référence CVE CVE-2026-102257
https://www.cve.org/CVERecord?id=CVE-2026-102257 -
Référence CVE CVE-2026-102258
https://www.cve.org/CVERecord?id=CVE-2026-102258
Gestion détaillée du document
| Date | Description |
|---|---|
| 07 octobre 2026 | Version initiale |