🔐 CVE-2024-38063 — Analyse der IPv6 TCP/IP Remote Code Execution

📌 Projektbeschreibung

Dieses Projekt präsentiert eine technische Analyse und praktische Demonstration der kritischen Sicherheitslücke CVE-2024-38063, die von Microsoft während des Patch Tuesday (13. August 2024) veröffentlicht wurde.

Die Schwachstelle betrifft den Windows TCP/IP-Stack, insbesondere die IPv6-Komponente, die im Kernel-Treiber implementiert ist:

C:\Windows\System32\drivers\tcpip.sys

Entdeckt wurde die Schwachstelle von dem Sicherheitsforscher XiaoWei von Kunlun Lab. Sie könnte es Angreifern ermöglichen, durch falsche Verarbeitung von IPv6-Erweiterungsheadern eine Remote Code Execution (RCE) durchzuführen.

---

🎯 Ziele

• Verstehen, warum moderne Protokolle Sicherheitsrisiken mit sich bringen können
• Analyse der technischen Ursache von CVE-2024-38063
• Nachstellung der Schwachstelle in einer kontrollierten Laborumgebung
• Ausführen eines Proof of Concept (PoC)
• Identifizierung von Gegenmaßnahmen
• Entwicklung praktischer defensiver Cybersicherheitsfähigkeiten

---

🧠 Technische Erklärung

Art der Schwachstelle

Integer-Unterlauf → Pufferüberlauf → Remote-Code-Ausführung

Die Schwachstelle befindet sich in der Funktion:

Ipv6pProcessOptions()

im Windows-Kernel-Treiber:

tcpip.sys

IPv6 führt Erweiterungsheader ein, die zusätzliche Anweisungen in Netzwerkpaketen ermöglichen.

Eine unsachgemäße Verarbeitung speziell präparierter IPv6-Pakete kann Folgendes verursachen:

• Integer-Unterlauf
• Speicherkorruption
• Pufferüberlauf
• Systemabsturz (BSOD)
• Potenzielle Remote-Code-Ausführung

Angreifer nutzen diese Schwachstelle aus, indem sie bösartige fragmentierte IPv6-Pakete mit manipulierten Erweiterungsheadern senden.

---

💻 Betroffene Systeme

Die Schwachstelle betrifft Windows-Betriebssysteme, bei denen IPv6 standardmäßig aktiviert ist:

• Windows 10
• Windows 11
• Windows Server 2008 → 2022
• Unternehmensumgebungen mit IPv6-Netzwerk

---

🧪 Laborumgebung

---

⚙️ Exploit-Szenario

1️⃣ Netzwerkerstellung

Beide virtuellen Maschinen müssen zum selben internen Netzwerk gehören.

VirtualBox-Konfiguration:

Extras → Netzwerk → NAT-Netzwerk → Erstellen

Beispielkonfiguration:

Netzwerkadresse: 192.168.100.0/24
DHCP: Aktiviert

Netzwerkerstellung

---

2️⃣ NAT-Netzwerk für beide Maschinen konfigurieren

Beide virtuellen Maschinen müssen dieselbe NAT-Netzwerkschnittstelle verwenden.

---

3️⃣ Statische IP für Kali Linux zuweisen

Manuelle Konfiguration gewährleistet stabile Verbindung.

---

4️⃣ IP-Konfiguration überprüfen

Bestätigen, dass die IP-Adressen korrekt zugewiesen sind.

---

5️⃣ Konnektivitätstest

Kommunikation zwischen beiden Maschinen testen.

---

📂 Proof of Concept (PoC)

Der Exploit demonstriert, wie fehlerhafte IPv6-Pakete Speicherkorruption verursachen können.

Skript-Analyse

---

Ausführen des Exploits

Administratorrechte sind erforderlich:

---

Ergebnis – Blue Screen of Death (BSOD)

Eine erfolgreiche Ausnutzung führt zu Speicherkorruption, die einen Systemabsturz verursacht.

---

⚠️ Ethischer Hinweis & Laborumgebung

Dieses Projekt wurde streng in einer kontrollierten und isolierten virtuellen Laborumgebung mit virtuellen Maschinen durchgeführt.

• Alle Tests wurden lokal mit Virtualisierungswerkzeugen (VirtualBox) durchgeführt
• Es waren keine realen Systeme, Netzwerke oder externe Ziele beteiligt
• Der Exploit-Prozess wurde nur auf absichtlich verwundbaren Maschinen ausgeführt

Diese Arbeit ist Teil eines ethischen Hacking-Lernprozesses und dient ausschließlich:

• Bildungszwecken
• Cybersicherheitstraining
• Forschung und defensiver Analyse

🚫 Versuchen Sie nicht, diesen Angriff auf Systemen ohne ausdrückliche Genehmigung zu reproduzieren.

Jeglicher Missbrauch dieser Informationen wird strikt abgelehnt.