SonicWall, SMA1000 রিমোট অ্যাক্সেস গেটওয়েতে 10.0 রেটিংয়ের SSRF ত্রুটি সংশোধন করেছে

The Hacker News ও BleepingComputer-এর প্রতিবেদন অনুযায়ী, SonicWall তার SMA1000 সিরিজের চারটি দুর্বলতার জন্য হটফিক্স প্রকাশ করেছে; এই অ্যাপ্লায়েন্সগুলো দিয়ে প্রতিষ্ঠানগুলো দূরবর্তী কর্মীদের অভ্যন্তরীণ নেটওয়ার্ক ও অ্যাপ্লিকেশনে প্রবেশাধিকার দেয়। সবচেয়ে গুরুতর ত্রুটি CVE-2026-102255 হলো WorkPlace পোর্টালের একটি সার্ভার-সাইড রিকোয়েস্ট ফোরজারি (SSRF) ত্রুটি, যেখানে লগইন না করেই পৌঁছানো যায়। SonicWall এটিকে CVSS স্কোর 10.0 দিয়েছে, যা স্কেলের সর্বোচ্চ মান। The Hacker News যে অ্যাডভাইজরির তারিখ 6 অক্টোবর বলে উল্লেখ করেছে, তাতে কোম্পানিটি বলছে, একজন অপ্রমাণীকৃত (unauthenticated) দূরবর্তী আক্রমণকারী একটি অনিচ্ছাকৃত প্রবেশপথের অপব্যবহার করে অ্যাপ্লায়েন্সটিকে দিয়ে নিজের হয়ে অনুরোধ পাঠাতে, অভ্যন্তরীণ ফাংশনে পৌঁছাতে এবং অননুমোদিত কার্যক্রম চালাতে পারে। কোন ফাংশনগুলো উন্মুক্ত, অ্যাডভাইজরিতে তা বলা হয়নি।

SonicWall-এর মতে, চারটি ত্রুটির কোনোটি আক্রমণকারীরা ব্যবহার করছে এমন কোনো লক্ষণ এখন পর্যন্ত নেই, এবং কোম্পানিটি SMA1000 গ্রাহকদের সংশোধিত রিলিজে যাওয়ার পরামর্শ দিয়েছে। ক্ষতিগ্রস্ত মডেলগুলো হলো SMA1000 6210, 7210 ও 8200v। The Hacker News-এর তথ্য অনুযায়ী, 12.4.3 শাখায় 12.4.3-03526 পর্যন্ত বিল্ডগুলো ঝুঁকিপূর্ণ এবং 12.4.3-03670 বা পরবর্তী বিল্ডে সংশোধন রয়েছে; 12.5.0 শাখায় 12.5.0-02952 পর্যন্ত বিল্ডগুলো ঝুঁকিপূর্ণ এবং 12.5.0-03082 বা পরবর্তী বিল্ড সংশোধিত। SMA 100 সিরিজ বা SonicWall ফায়ারওয়ালের SSL-VPN ফিচার, কোনোটিই ক্ষতিগ্রস্ত নয়। The Hacker News আরও জানায়, হটফিক্সটি MySonicWall পোর্টালের মাধ্যমে বিতরণ করা হচ্ছে, ইনস্টল করার পর অ্যাপ্লায়েন্সটি রিবুট হয়, এবং কোনো বিকল্প সমাধান (workaround) তালিকাভুক্ত নেই।

বাকি তিনটি ত্রুটি কেবল লগইন করার পরেই ব্যবহার করা যায়। CVE-2026-102256 হলো একটি OS কমান্ড ইনজেকশন, যার জন্য অ্যাডমিনিস্ট্রেটর অ্যাক্সেস প্রয়োজন এবং যা রিমোট কোড এক্সিকিউশনের দিকে নিয়ে যেতে পারে; The Hacker News-এর তথ্য অনুযায়ী, SonicWall এটিকে 7.8 স্কোর দিয়েছে। 7.2 রেটিংয়ের CVE-2026-102257 হলো Appliance Management Console (AMC)-এর একটি Zip Slip ত্রুটি: বিশেষভাবে তৈরি একটি আর্কাইভ যে ফোল্ডারে আনপ্যাক হওয়ার কথা, তার বাইরে ফাইল রাখতে পারে, যা থেকেও রিমোট কোড এক্সিকিউশন ঘটতে পারে। 5.5 রেটিংয়ের CVE-2026-102258 হলো AMC-তে একটি স্টোরড ক্রস-সাইট স্ক্রিপ্টিং ত্রুটি, যার জন্য একটি অ্যাডমিনিস্ট্রেটর অ্যাকাউন্ট প্রয়োজন। The Hacker News জানায়, এবার SonicWall বাইরের গবেষকদের কৃতিত্ব দিয়েছে: CVE-2026-102255 ও CVE-2026-102256 রিপোর্ট করেছেন Anthropic-এর Benoît Sevens, আর বাকি দুটি খুঁজে পেয়েছেন DigitalCanion SA-এর Brian Mariani, যার একটি Trend Micro-র Zero Day Initiative-এর মাধ্যমে জমা দেওয়া হয়েছিল।

এই সংশোধন এসেছে SMA1000-এর একাধিক অপব্যবহৃত বাগের ধারাবাহিকতার পর। The Hacker News-এর হিসাবে, এটি তৃতীয় WorkPlace SSRF ত্রুটি যার রেটিং 10.0, যেখানে লগইন ছাড়াই পৌঁছানো যায় এবং যা SonicWall এ বছর প্যাচ করেছে: আগের জোড়াগুলো ছিল 14 জুলাই প্রকাশিত CVE-2026-15409 ও CVE-2026-15410, এবং 1 সেপ্টেম্বর প্রকাশিত CVE-2026-83548 ও CVE-2026-83549; উভয় ক্ষেত্রেই SonicWall জানিয়েছিল যে এগুলো ব্যবহার করে চালানো হামলার তদন্ত তারা করেছে। BleepingComputer জানায়, জুলাইয়ের জোড়াটি কয়েক সপ্তাহ ধরে Sou5, OrangeTail ও RootRun ম্যালওয়্যার ইনস্টল করতে অপব্যবহার করা হয়েছিল, এমন হামলায় যেগুলোকে CISA র‍্যানসমওয়্যার গোষ্ঠীগুলোর সঙ্গে যুক্ত করেছে। The Hacker News আরও উল্লেখ করেছে যে ঝুঁকিপূর্ণ বিল্ডগুলোর মধ্যে 12.4.3-03526 ও 12.5.0-02952 রয়েছে, অর্থাৎ ঠিক সেই বিল্ডগুলো, যেগুলোকে SonicWall 1 সেপ্টেম্বর অপব্যবহৃত জোড়াটির সংশোধন হিসেবে উল্লেখ করেছিল; ফলে তখন আপডেট করা অ্যাপ্লায়েন্সগুলোতেও নতুন হটফিক্স প্রয়োজন। একই সংবাদমাধ্যমের তথ্য অনুযায়ী, নতুন SSRF বাগটি অন্য তিনটির সঙ্গে চেইন করা যায় কি না, SonicWall তা জানায়নি, এবং অ্যাপ্লায়েন্সে ইন্ডিকেটরস অব কম্প্রোমাইজ (indicators of compromise) পরীক্ষা করার আগের পরামর্শটিও পুনরাবৃত্তি করেনি।