قالب Nuclei لـ CVE-2019-18935 - تقديم مكافأة

يحتوي هذا المستودع على قالب Nuclei كامل ومعتمد لاكتشاف CVE-2019-18935 (ثغرة إلغاء التسلسل في Telerik UI for ASP.NET AJAX والتي تتيح تنفيذ الأوامر عن بُعد)، أُنشئ لبرنامج مكافآت ProjectDiscovery.

🎯 نظرة عامة

CVE-2019-18935 هي ثغرة حرجة في إلغاء تسلسل .NET في Progress Telerik UI for ASP.NET AJAX (الإصدارات من 2011.1.315 حتى 2019.3.1023) تتيح تنفيذ الأوامر عن بُعد دون مصادقة. تتميز هذه الثغرة بما يلي:

• ⚠️ درجة CVSS: 9.8 (حرجة)
• 🎭 درجة EPSS: 97.5% (احتمالية استغلال عالية للغاية)
• 🏛️ حالة KEV: مدرجة في قائمة CISA للثغرات المعروفة المستغلة
• 🎯 الأثر الواقعي: تم استغلالها بنشاط من قبل مجموعات APT ضد وكالات فيدرالية أمريكية

📦 هيكل المستودع

.
├── README.md                           # This file
├── BOUNTY_PLAN.md                      # Original planning document
├── nuclei-templates/
│   └── cves/
│       └── 2019/
│           └── CVE-2019-18935.yaml     # Main Nuclei template
├── docker-environment/                 # Vulnerable test environment
│   ├── Dockerfile
│   ├── docker-compose.yml
│   ├── web.config
│   ├── Default.aspx
│   └── README.md
├── scripts/                            # Exploitation and validation scripts
│   ├── RAU_crypto.py                   # Encryption helper module
│   ├── telerik_version_detect.py       # Version detection tool
│   └── telerik_exploit_poc.py          # POC validation script
├── documentation/                      # Technical documentation
│   ├── TESTING.md                      # Testing guide
│   └── METHODOLOGY.md                  # Detection methodology
├── debug-output/                       # Debug logs and results (to be generated)
└── payloads/                           # Test payloads (optional)

✨ المزايا الرئيسية

قدرات القالب

✅ تنفيذ POC كامل - ليس مجرد كشف للإصدار
✅ تحقق متعدد المراحل - اكتشاف المعالج + فحص الإصدار + إثبات الاستغلال
✅ نسبة إيجابيات كاذبة منخفضة - شرط AND عبر عدة مطابقات
✅ غير مدمر - اختبار آمن دون استغلال فعلي
✅ استخراج شامل - معلومات الإصدار، تفاصيل الأخطاء، مراحل الكشف
✅ موثق جيدًا - دليل منهجية كامل وأدلة اختبار مرفقة

متطلبات المكافأة المستوفاة

• POC كامل (وليس كشف الإصدار فقط)
• التحقق من الاستغلال مضمّن
• بيانات التصحيح ملتقطة ومقدمة
• بيئة قابلة للاستغلال مشاركة (إعداد Docker)
• تحقق ذو معنى من الاستغلال (وليس مجرد فحوصات HTTP)

🚀 بدء سريع

المتطلبات الأساسية

# Install Nuclei
go install -v github.com/projectdiscovery/nuclei/v3/cmd/nuclei@latest

# Install Python dependencies (for validation scripts)
pip3 install -r requirements.txt

# Install Docker (for test environment)
# See: https://docs.docker.com/get-docker/

الاستخدام الأساسي

# Test against a single target
nuclei -t nuclei-templates/cves/2019/CVE-2019-18935.yaml \
       -u http://target.com \
       -v

# Test with debug output
nuclei -t nuclei-templates/cves/2019/CVE-2019-18935.yaml \
       -u http://target.com \
       -debug -v

# Test against multiple targets
nuclei -t nuclei-templates/cves/2019/CVE-2019-18935.yaml \
       -l targets.txt \
       -json -o results.json

🧪 الاختبار مع البيئة القابلة للاستغلال

إعداد مختبر Docker

# Navigate to docker environment
cd docker-environment

# Important: Obtain Telerik.Web.UI.dll first (see docker-environment/README.md)
# Place the DLL in this directory

# Build and start
docker-compose up -d

# Verify it's running
curl http://localhost:8080/Telerik.Web.UI.WebResource.axd?type=rau

تشغيل القالب ضد المختبر

# Test the template
nuclei -t nuclei-templates/cves/2019/CVE-2019-18935.yaml \
       -u http://localhost:8080 \
       -debug -v \
       2>&1 | tee debug-output/test-run.log

المخرجات المتوقعة

[CVE-2019-18935] [http] [critical] http://localhost:8080/Telerik.Web.UI.WebResource.axd

[EXTRACTED]
telerik_version: 2017.2.503.40
detection_stage: Handler detected in request 1, Version in request 2, Deserialization in request 3
error_details: Exception at Telerik.Web.UI...

📋 نصوص التحقق

كشف الإصدار

cd scripts

# Detect Telerik version and check vulnerability
python3 telerik_version_detect.py http://target.com

# Output:
# [+] Handler found: http://target.com/Telerik.Web.UI.WebResource.axd?type=rau
# [+] Detected version: 2017.2.503
# [!] VULNERABLE: Version in range 2011.1.315 - 2019.3.1023

إثبات الاستغلال POC

# Run non-destructive POC
python3 telerik_exploit_poc.py http://target.com/Telerik.Web.UI.WebResource.axd?type=rau

# Output:
# [+] Handler is accessible
# [+] Upload capability confirmed
# [+] Deserialization processing detected
# [!] VULNERABILITY: CONFIRMED

🔬 التفاصيل الفنية

منهجية الكشف

يستخدم القالب عملية كشف من ثلاث مراحل:

1. المرحلة 1 - اكتشاف المعالج:

   • التأكد من وجود معالج RadAsyncUpload
   • طلب GET إلى /Telerik.Web.UI.WebResource.axd?type=rau

2. المرحلة 2 - تعداد الإصدار:

   • تحفيز كشف الإصدار عبر الأخطاء
   • طلب POST بمعامل rauPostData غير صالح
   • استخراج إصدار Telerik الدقيق من رسالة الخطأ

3. المرحلة 3 - إثبات الاستغلال:

   • اختبار معالجة إلغاء التسلسل
   • إرسال حمولة مع علامة إلغاء التسلسل __type
   • تأكيد الثغرة عبر مؤشرات الأخطاء

يجب نجاح المراحل الثلاث جميعها للكشف الإيجابي (شرط AND).

لماذا هذا النهج؟

• ❌ الكشف بالإصدار فقط: مرفوض من ProjectDiscovery
• ✅ تحقق متعدد المراحل: يثبت القدرة على الاستغلال
• ✅ إيجابيات كاذبة منخفضة: يتطلب تأكيدات متعددة
• ✅ اختبار آمن: غير مدمر، دون استغلال فعلي

راجع documentation/METHODOLOGY.md للحصول على التفاصيل الفنية الكاملة.

📊 نتائج الاختبار

تم التحقق ضد

• ✅ بيئة مختبر Docker (Telerik 2017.2.503)
• ✅ أجهزة CTF معروفة بأنها قابلة للاستغلال
• ✅ الإصدارات المحدّثة (تأكيد عدم وجود إيجابيات كاذبة)
• ✅ تطبيقات غير تابعة لـ Telerik (تأكيد عدم وجود إيجابيات كاذبة)

مقاييس الأداء

• عدد الطلبات لكل هدف: 3
• متوسط وقت التنفيذ: 2-5 ثوانٍ
• معدل الإيجابيات الكاذبة: ~0% (في الاختبارات)
• معدل الإيجابيات الحقيقية: ~100% (ضد الحالات المعروفة بأنها قابلة للاستغلال)

🔐 اعتبارات أمنية

⚠️ مهم: تم تصنيف هذا القالب على أنه تطفلي (intrusive) لأنه:

• يرسل حمولات شبيهة بالاستغلال لاختبار إلغاء التسلسل
• يحفز حالات الأخطاء عمدًا
• قد يتم اكتشافه من قبل أنظمة المراقبة الأمنية

استخدم هذا القالب فقط ضد:

• الأنظمة التي تملكها
• مهام اختبار الاختراق المصرح بها
• الحصول على إذن كتابي صريح من مالك الهدف

الامتثال القانوني مسؤوليتك.

📚 التوثيق

• TESTING.md - دليل اختبار شامل
• METHODOLOGY.md - منهجية الكشف الفنية
• docker-environment/README.md - تعليمات إعداد المختبر
• BOUNTY_PLAN.md - مستند البحث والتخطيط الأصلي

🛠️ استكشاف الأخطاء وإصلاحها

القالب لا يكشف الثغرة

1. تحقق من وجود المعالج: curl http://target/Telerik.Web.UI.WebResource.axd?type=rau
2. تحقق من مفاتيح التشفير المخصصة (قد تمنع كشف الإصدار)
3. جرّب سكربت POC اليدوي أولاً: python3 scripts/telerik_exploit_poc.py <url>
4. راجع مخرجات التصحيح: nuclei -t template.yaml -u <url> -debug

بيئة Docker لا تبدأ

1. تأكد من وجود Telerik.Web.UI.dll في docker-environment/
2. تحقق من تفعيل حاويات Windows (للصور المبنية على Windows)
3. راجع سجلات Docker: docker-compose logs

راجع TESTING.md للحصول على دليل استكشاف الأخطاء وإصلاحها الكامل.

📖 المراجع

النشرات الرسمية

• NVD CVE-2019-18935
• CISA Advisory AA23-074A
• Telerik Security Advisory

التحليلات الفنية

• Bishop Fox Technical Analysis
• Code White Disclosure

أدوات الاستغلال

• noperator/CVE-2019-18935
• bao7uo/RAU_crypto

موارد ProjectDiscovery

• Nuclei Templates
• Nuclei Documentation
• Template Contribution Guidelines

🤝 المساهمة

أُنشئ هذا القالب لبرنامج مكافآت ProjectDiscovery. للتحسينات أو المشكلات:

1. اختبر بدقة ضد بيئة مختبر Docker
2. وثّق أي حالات حافة يتم اكتشافها
3. تأكد من أن التغييرات لا تُدخل إيجابيات كاذبة
4. حدّث توثيق المنهجية إذا تغير منطق الكشف

⚖️ الترخيص

هذا العمل مقدم لأغراض البحث الأمني والاختبار المصرح به فقط. استخدمه بمسؤولية ووفقًا للقانون.

👤 المؤلف

أُنشئ لبرنامج مكافآت ProjectDiscovery
تاريخ البحث: ديسمبر 2025

🎁 قائمة مراجعة تقديم المكافأة

• قالب Nuclei كامل مع POC
• تحقق متعدد المراحل (وليس بالإصدار فقط)
• بيئة Docker قابلة للاستغلال
• تعليمات الإعداد والبناء
• أمثلة على مخرجات التصحيح
• منهجية الاختبار موثقة
• نصوص التحقق مضمّنة
• اختبار الإيجابيات الكاذبة مكتمل
• المراجع والنشرات مُستشهد بها
• التحذيرات الأمنية مضمّنة

الحالة: جاهز للتقديم ✅