CVE-2026-66147 SonicWall GMS 未授权远程命令注入漏洞研究

原创

源影安全
源影安全

源影安全团队

2026年8月13日 18:37
北京

在小说阅读器读本章

去阅读

背景

SonicWall GMS 产品概述

SonicWall GMS(Global Management System)是 SonicWall 的集中管理平台, 用于批量管理 SonicWall 防火墙、SMA 等设备。企业数据中心里可能有几十上百台设备, 一台台手动配置不现实,GMS 就是干这个的:统一配策略、推固件、看报表、管告警。 它本身是一个跑在 Linux 上的虚拟/物理设备,内部跑着 Tomcat(Web 界面)、 PostgreSQL/MySQL(数据)、Scheduler(调度),以及一个关键的 dispatcher 配置守护进程。

漏洞概述

CVE-2026-66147,CVSS 9.4。远程攻击者无需认证,向 8035 端口发送一条 XML-RPC 请求即可在设备上以 root 权限执行任意命令。

受影响版本是 GMS ≤ 9.5.1,实测在 9.5.9510.1044 上完整复现。

Dispatcher 服务简介

dispatcher(/opt/vsa/bin/dispatcher)是设备内部的配置管家。你在 Web 界面上点 \"改主机名\"、\"配 IP\"、\"加路由\"、\"重启设备\",最终都是 Tomcat → cppserv → 转发给 dispatcher, 由它去执行对应的 shell 命令(setName.sh、ifSetup.sh、route add...)。

它是个 C++ 写的 XML-RPC 服务,跑在 TCP 8035,用的不是 HTTP,是自己的一套 \"XML + NUL 字节\"的裸 TCP 协议。设计上只有本机的客户端(cppserv、CLI 工具 snwlcli)会连它。

管理员 → Web UI (443) → cppserv → dispatcher (8035) → /bin/sh

漏洞成因

三个问题叠在一起:

1. dispatcher 绑了 0.0.0.0

—— 本该只听 127.0.0.1 的,结果绑到了所有网卡上。
2. 没有任何认证

—— 不验证调用者身份,谁连上 8035 谁就是管理员。
3. 参数直接拼进 shell 命令,不做校验

—— set_hostname 方法里的 name 参数, 直接拼成 setName.sh <name> 丢给 system() 执行,;、$() 这些元字符一个都没拦。

上述三个问题同时存在,导致网络上任何未认证的攻击者都可以通过向 8035 端口发送 XML-RPC 请求注入 shell 命令,而 dispatcher 进程以 root 权限运行。

已关注

关注

重播 分享 赞

关闭

观看更多

更多

退出全屏

切换到竖屏全屏退出全屏

源影安全团队已关注

分享视频

，时长00:14

0/0

00:00/00:14

切换到横屏模式

继续播放

[ ]

进度条，百分之0

播放

00:00

/

00:14

00:14

倍速

全屏

倍速播放中

0.5倍0.75倍1.0倍1.5倍2.0倍

超清流畅

继续观看

CVE-2026-66147 SonicWall GMS 未授权远程命令注入漏洞研究

观看更多

原创

,

CVE-2026-66147 SonicWall GMS 未授权远程命令注入漏洞研究

源影安全团队已关注

分享点赞在看

已同步到看一看写下你的评论

视频详情

漏洞详情

1、下载环境 ：

https://www.mysonicwall.com/muir/ui/workspace/m/feature/download-center

2.、安装环境

3、加载虚拟机获取磁盘文件，提取文件放置分析环境中。

4、打开claude code 加载 ghidra mcp 输入提示词，之后喝杯蜜雪冰城、点个拼好饭等会。

之后就获取一个 shell:

最后：也许这个漏洞不值得你花这么多时间。看看得了。

最最后：漏洞挖掘belike