CVE-2026-1731 — BeyondTrust RS/PRA Passive Vulnerability Scanner

    ╔═══════════════════════════════════════════════════════════════╗
    ║                                                               ║
    ║                      CVE-2026-1731                            ║
    ║       BeyondTrust RS/PRA Passive Vulnerability Scanner        ║
    ║                                                               ║
    ╠═══════════════════════════════════════════════════════════════╣
    ║   PASSIVE SCANNER — EDUCATIONAL & AUTHORIZED USE ONLY         ║
    ║                                                               ║
    ║   Performs passive fingerprinting via standard HTTP GET.      ║
    ║   No exploit payloads sent. No WebSocket connections.         ║
    ║   Only use against systems you own or are authorized to test. ║
    ║                                                               ║
    ║   Methods: BRDF version extraction, /check_health,            ║
    ║            static asset sizing, /get_mech_list API,           ║
    ║            HTML analysis, copyright year, /nw probe           ║
    ║                                                               ║
    ║   Author: NetGuard 24/7 LLC                                   ║
    ║   Web:    https://netguard24-7.com                            ║
    ╚═══════════════════════════════════════════════════════════════╝

ماسح ضوئي سلبي للثغرة الأمنية CVE-2026-1731 — وهي ثغرة حرجة (CVSS 9.9) لتنفيذ التعليمات البرمجية عن بُعد قبل المصادقة في BeyondTrust Remote Support (RS) وPrivileged Remote Access (PRA).

تحدد هذه الأداة حالات BeyondTrust المعرضة للخطر باستخدام طلبات HTTP GET القياسية فقط. لا يتم إرسال أي حمولات استغلال. لا يتم إنشاء أي اتصالات WebSocket. لا تتم محاولة أي مصادقة.

تحديث: 16/2/2026 تطبيق التصحيح BT26-02-RS أو BT26-02-PRA سيجعل حالات BeyondTrust المكتشفة أدناه RS (v21.3 - 25.3.1) أو PRA (v22.1 - 24.X) تظهر كمعرضة للخطر نظرًا لأن التصحيح لن يؤدي إلى زيادات في الإصدار، وبالتالي فإن الحالات المصححة بـ (BT26-02-RS أو BT26-02-PRA) ستظهر كمعرضة للخطر. بمجرد ترقية الإصدار الأساسي، ستظهر الحالة كغير معرضة للخطر". وفقًا للبائع، يتم معالجة الإصلاح الرسمي في Remote Support 25.3.2 والإصدارات الأحدث | Privileged Remote Access 25.1 والإصدارات الأحدث

المؤلف: NetGuard 24/7 LLC

⚠️ إخلاء المسؤولية القانوني

تم توفير هذه الأداة لأغراض تعليمية ودفاعية مصرح بها فقط.

يُسمح لك فقط باستخدام هذه الأداة ضد الأنظمة التي تملكها أو لديك تفويض كتابي صريح لاختبارها. قد يؤدي الفحص غير المصرح به للأنظمة التي لا تملكها إلى انتهاك القوانين المعمول بها بما في ذلك قانون الاحتيال وإساءة استخدام الكمبيوتر (CFAA) والقوانين المماثلة في ولايات قضائية أخرى.

لا يتحمل المؤلفون أي مسؤولية عن إساءة استخدام هذه الأداة. باستخدامك لهذا البرنامج، فإنك توافق على استخدامه بمسؤولية ووفقًا لجميع القوانين واللوائح المعمول بها.

نظرة عامة على الثغرة الأمنية

CVE-2026-1731 هي متغير من CVE-2024-12356 (الثغرة الأمنية التي استخدمها APT الصيني لاختراق وزارة الخزانة الأمريكية). يستهدف كلاهما نفس نقطة نهاية WebSocket /nw وسكربت Bash الأساسي thin-scc-wrapper. أضاف تصحيح BT24-10 لـ CVE-2024-12356 فحصًا رقميًا للسلامة، لكنه فشل في منع تقييم حساب Bash لمعامل remoteVersion — وهو ما تستغله CVE-2026-1731.

كيف تعمل

يستخدم هذا الماسح 8 طرق بصمة سلبية — تم التحقق من صحتها مقابل حالات BeyondTrust الحية — لتحديد إصدار المنتج وحالة الثغرة الأمنية دون إرسال أي حركة استغلال.

طرق الكشف

الطريقة 1 (BRDF) هي نفس التقنية المستخدمة في Metasploit وإضافة Nessus 213456. عندما يُرجع BRDF إصدارًا دقيقًا، تكون الثقة دقيقة. بعض حالات 25.x تزيل الإصدار من BRDF — في هذه الحالات، يتم تسجيل الطرق 2-6 وتأكيدها لاستنتاج نطاق الإصدار.

ما لا تفعله هذه الأداة

• ❌ إرسال طلبات ترقية WebSocket
• ❌ نقل حمولات مصممة إلى /nw
• ❌ محاولة أي شكل من أشكال الاستغلال
• ❌ إجراء مصادقة أو تخمين كلمات المرور
• ❌ تعديل أي بيانات على الأنظمة المستهدفة
• ❌ إنشاء اتصالات دائمة أو ذات حالة

بدء الاستخدام السريع

المتطلبات

• Python 3.8+
• لا توجد تبعيات خارجية (المكتبة القياسية فقط)

التثبيت

git clone https://github.com/YOUR_USERNAME/cve-2026-1731-scanner.git
cd cve-2026-1731-scanner
chmod +x cve_2026_1731_scanner.py

فحص هدف واحد

python3 cve_2026_1731_scanner.py -t support.example.com -v

فحص جماعي من ملف

# إنشاء قائمة أهداف (مضيف واحد في كل سطر)
cat > targets.txt << 'EOF'
support.example.com
pra.example.com
192.168.1.50
10.0.0.100:8443
remote-support.beyondtrustcloud.com
EOF

# تشغيل الفحص
python3 cve_2026_1731_scanner.py -f targets.txt --threads 20 -o results.csv --json results.json -v

الاستخدام الكامل

usage: cve_2026_1731_scanner.py [-h] (-t TARGET | -f FILE) [-o OUTPUT]
                                 [--json JSON_OUTPUT] [--threads THREADS] [-v]

options:
  -t, --target TARGET     اسم مضيف أو عنوان IP واحد
  -f, --file FILE         ملف يحتوي على الأهداف (واحد في كل سطر)
  -o, --output OUTPUT     تصدير النتائج إلى ملف CSV
  --json JSON_OUTPUT      تصدير النتائج إلى ملف JSON
  --threads THREADS       الخيوط المتزامنة (الافتراضي: 10)
  -v, --verbose           إخراج تفصيلي لكل هدف

تنسيق الإدخال

يقبل ملف الأهداف إدخالًا مرنًا — إدخال واحد في كل سطر:

# التعليقات مدعومة (الأسطر التي تبدأ بـ #)
192.168.1.1
10.0.0.5
support.example.com
support.example.com:8443
https://support.example.com
http://support.example.com    # يتم الترقية تلقائيًا إلى HTTPS
support.example.com/login     # تتم إزالة المسارات تلقائيًا

فهم المخرجات

مستويات المخاطر

ثقة الإصدار

رموز الخروج (تكامل CI/CD)

# مثال: تكامل خط أنابيب CI/CD
python3 cve_2026_1731_scanner.py -f targets.txt -o results.csv
if [ $? -eq 2 ]; then
    echo "حرج: تم العثور على حالات BeyondTrust معرضة للخطر!"
    # تشغيل تنبيه / استدعاء المناوب / فتح تذكرة
fi

مثال على المخرجات

  [*] Scanning https://support.example.com...
      Status: VULNERABLE [CRITICAL]
      Version: 24.1.4 (via BRDF /get_rdf, confidence: EXACT)
      Company: examplecorp
      Product: Remote Support
      Signals: health=old, login.js=36458B, html=modern, ©2024
      /nw: REACHABLE

تصدير CSV وJSON

حقول CSV

المعالجة

إذا حدد الماسح حالات معرضة للخطر:

1. طبق تصحيح BT26-02 فورًا — متاح من BeyondTrust لجميع إصدارات RS/PRA المدعومة
2. قم بالترقية إلى الإصدارات المُصلَحة: RS 25.3.2+ أو PRA 25.1.1+
3. إذا كنت تشغل RS < 21.3 أو PRA < 22.1: يلزم ترقية كاملة للمنتج قبل تطبيق التصحيح
4. ضوابط الشبكة: قيّد الوصول إلى نقطة نهاية WebSocket /nw إذا لم يكن التصحيح الفوري ممكنًا
5. ابحث عن الاختراق: تحقق من السجلات بحثًا عن اتصالات WebSocket إلى /nw بقيم remoteVersion غير عادية تحتوي على $() أو علامات backtick
6. حالات SaaS: تم تصحيحها تلقائيًا في 2 فبراير 2026 — تحقق في بوابة BeyondTrust الخاصة بك

المراجع

• استشارة BT26-02
• NVD: CVE-2026-1731
• تحليل Rapid7
• وحدة Metasploit (CVE-2024-12356)

المساهمة

طلبات السحب مرحب بها. إذا اكتشفت طرق بصمة سلبية إضافية أو إشارات ارتباط بالإصدارات، فيرجى فتح مشكلة أو طلب سحب.

الترخيص

رخصة MIT — راجع LICENSE للحصول على التفاصيل.

المؤلف

NetGuard 24/7 LLC https://netguard24-7.com