flipfloptech/ncentraldumpsterdiverThis application utilized the Self Registration feature to create a rogue agent that then dumps ApplianceConfiguration settings which may or may not contain information such as plain text passwords. This was reported to SolarWinds PSIRT on 10/10/2019 with very little feedback.
Für weitere Informationen wurden Korrekturen/Workarounds veröffentlicht: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-7984
Diese Anwendung nutzt die nCentral-Agent-.NET-Bibliotheken, um die Agentenregistrierung zu simulieren und die Agenten-/Appliance-Konfigurationseinstellungen abzurufen. Diese Informationen können Active-Directory-Domänenanmeldeinformationen im Klartext enthalten. Dies wurde am 10.10.2019 an das SolarWinds PSIRT ([email protected]) gemeldet. In den meisten Fällen ist die Agent-Download-URL nicht abgesichert, sodass jeder ohne Autorisierung und mit bekannter Kundennummer die Agentensoftware herunterladen kann. Sobald Sie eine Kundennummer haben, können Sie sich selbst registrieren und die Konfiguration abrufen. Die Anwendung testet die Verfügbarkeit der Kundennummer über die Agent-Download-URL. Bei Erfolg ruft sie dann die Konfiguration ab. Wir versuchen nicht, die Konfiguration direkt abzurufen, da das Timeout bei diesem Vorgang zu lange dauert. Wenn die anfängliche Prüfung entfernt würde, könnten mehr Ergebnisse erzielt werden, da der Agent-Download blockiert sein könnte, während die Agent-Kommunikation dies nicht wäre.
Harmony wird nur verwendet, um die nCentral-Bibliotheken daran zu hindern, ein nicht benötigtes "config"-Verzeichnis zu speichern und zu erstellen.
nCentralDumpsterDiver 1.0.0.0
Copyright c 2020
ERROR(S):
Required option 'u, url' is missing.
-u, --url Required. URLs to be Processed
-i, --id Customer IDs to try processing, will be excluded from bruteforce
-b, --bruteforce (Default: false) Enable Customer ID BruteForce
--min (Default: 100) Minimum Customer ID to try for bruteforce.
--max (Default: 200) Maximum Customer ID to try for bruteforce.
--help Display this help screen.
--version Display version information.`
C:\Storage\nCentralDumpsterDiver>nCentralDumpsterDiver.exe -u https://nable.localhost.localdomain/ -b
[10:49:00 INF] Processing https://nable.localhost.localdomain/ started
[10:49:00 INF] Starting bruteforce, this will exclude any previously specified customer id(s)
