th3tr1ckst3r/cve-2024-38063بحث حول CVE-2024-38063 حتى لا تضطر إلى القيام بذلك بنفسك.
بحث شامل لتوفير وقتك، وطاقتك، وراحة بالك، وفهمك. أود أن أبدأ بالقول إن هذه الثغرة بالذات تشبه كثيرًا من الثغرات الأخرى، إذ إنها وبسبب درجة خطورتها المرتفعة حظيت بقدر هائل من الاهتمام في فترة زمنية قصيرة، مما أدى إلى انتشار الكثير من المعلومات المضللة والأنشطة الخبيثة حولها. الباحث الأصلي الذي اكتشفها هو Wei.
يتضمن ذلك، على سبيل المثال لا الحصر، نماذج إثبات المفهوم (PoC) القائمة على البرمجيات الخبيثة التي نُشرت على GitHub بهدف أن تبدو كنماذج PoC حقيقية.
لذلك، سأشارك في هذا المستودع فقط نماذج PoC الصالحة وغير المضللة للمساعدة في تعزيز البحث والفهم.
كما يوحي الاسم، تؤثر هذه الثغرة على Windows فقط، لذا إذا كنت تستخدم نظامًا آخر فإن هذا لا ينطبق عليك مباشرة.
سأشارك أيضًا استراتيجيات التخفيف لمن يرغب في حماية أنظمته من هذه الثغرة.
Issue Description:
This is a zero-click, wormable vulnerability in the IPv6 TCP/IP stack of Microsoft Windows enables attackers to remotely execute arbitrary code on affected systems without any user interaction.
Asset Description:
The issue impacts Microsoft Windows versions that support IPv6. It is particularly risky for internet-facing Windows servers and user devices with IPv6 enabled.
Vulnerability Impact:
If successfully exploited, this vulnerability could allow attackers to remotely execute arbitrary code, which might result in a full system compromise, unauthorized data access, and/or exposure of sensitive information.
Exploitation Details:
The flaw is located in the IPv6 TCP/IP component of the Windows networking stack. Attackers can exploit this vulnerability by sending specially crafted IPv6 packets to a target machine, enabling RCE without user interaction.
Patch Availability:
Microsoft has issued a security update for this vulnerability as part of the August 2024 Patch Tuesday.
It is crucial for organizations to apply this update promptly to mitigate risks.
If immediate patching isn’t feasible, disabling IPv6 on affected Windows systems can help reduce the attack surface until the patch is applied.
تعطيل IPv6 على مستوى جدار الحماية فقط لن يكون له أي تأثير في منع هذه الثغرة.
قد تكون محاولة إعادة إنتاج هذه الثغرة شاقة بعض الشيء في البداية، ومن الصحيح القول إن هذه الثغرة هي ثغرة بدون تفاعل من المستخدم (zero-click) في مكدس TCP/IP الخاص بـ IPv6 في Microsoft Windows، وتؤثر على العديد من إصدارات Windows 10 و11 وWindows Server.
لا تتيح هذه الثغرة من نوع RCE تنفيذ شيلكود (shellcode)، بل تؤدي بدلًا من ذلك إلى حدوث تجاوز سفلي صحيح (integer underflow) يسفر عن تلف في الذاكرة عن بُعد. وهذا من شأنه تعطيل الخدمات على الجهاز المتأثر بشكل فعال. تشير نماذج إثبات المفهوم المعروضة على الإنترنت والموثوقة، مثل ذلك الذي قدمه Marcus Hutchins (@MalwareTech) وynwarcs، إلى أن هذا قد يتحول إلى استغلال يُستخدم في البرية كنوع من ثغرات رفض الخدمة (DoS) في الأسابيع/الأشهر المقبلة.
ومع ذلك، فإن نموذج PoC المذكور أعلاه يعاني من عيب واحد، وهو أنك لست بحاجة إلى إغراق الشبكة بالحزم بنفس العدد الذي يرسله للحصول على النتيجة المرجوة. اقترح البعض استخدام حزمتين فقط للحصول على النتيجة المرجوة، لكن هذا الأسلوب ليس موثوقًا دائمًا. في اختباراتي على جهاز Windows حقيقي غير محدّث، وضمن نافذة زمنية قدرها 60 ثانية، يلزم حوالي 25 حزمة كحد أدنى للحصول دائمًا على النتيجة التي نتوقعها. ومع ذلك، فإن هذا الرقم أقل بكثير من التصميم الأصلي، ويمكنك القول إنه تحسين. إذ إنه لا يزال يزيد مساحة الذاكرة المطلوب دمجها بشكل هائل، مما يتسبب في تلف الذاكرة في النواة، ويشاهد المستخدمون النهائيون شاشة زرقاء.
إذا لم تكن قادرًا على تحديث أنظمتك بأحدث التصحيحات لأي سبب كان، فإن أفضل خيار تالٍ لك هو تعطيل IPv6 على جميع واجهات الشبكة للحد بشكل كبير من سطح الهجوم لهذا الاستغلال، ومع ذلك، لا تستخدم هذا كحل طويل الأمد لأنه قد يكسر وظائف نظامك بشكل محتمل.
سيتعين عليك تشغيل سكربت PowerShell هذا بصلاحيات المسؤول، وحفظه كـ script.ps1:
# Check if the script is running with admin privileges
If (-NOT ([Security.Principal.WindowsPrincipal] [Security.Principal.WindowsIdentity]::GetCurrent()).IsInRole([Security.Principal.WindowsBuiltInRole] "Administrator")) {
# Restart script with admin privileges
$arguments = "& '" + $myInvocation.MyCommand.Definition + "'"
Start-Process powershell.exe -ArgumentList $arguments -Verb RunAs
Exit
}
# Disable IPv6 on all network interfaces
Get-NetAdapterBinding -ComponentID ms_tcpip6 | Where-Object {$_.Enabled -eq $true} | ForEach-Object {
Disable-NetAdapterBinding -Name $_.Name -ComponentID ms_tcpip6
}
# Optional: Confirm that IPv6 has been disabled
Write-Host "IPv6 has been disabled on all network interfaces."
سأقوم بتحديث مستودع GitHub هذا خلال الأسابيع القليلة المقبلة بالمزيد من الأبحاث والتحديثات وخيارات التخفيف الصالحة الأخرى.