CVE-2026-29781

---

Eine architektonische Schwachstelle im Sliver-C2-Server ermöglicht eine Reverse-C2-Waffenisierung. Durch das Extrahieren von Anmeldedaten aus einem erbeuteten Implant kann ein Verteidiger die C2-Beziehung ausnutzen, um einen Remote-Infrastruktur-Kill-Switch auszulösen. Diese Ausnutzung zielt auf einen systemischen Mangel an Nil-Pointer-Validierung in Protobuf-Handlern ab, was zu einer globalen Laufzeit-Panic führt.

Die Auswirkung von CVE-2026-29781 ist eine vollständige operative Lähmung der C2-Infrastruktur.

1. Der Jäger wird zum Gejagten: Ein Verteidiger, der ein Implantat-Binary erbeutet, kann den Angriff umkehren und den Sliver-Server vollständig herunterfahren.

2. Transportübergreifender Zusammenbruch: Da die mTLS-, WireGuard- und DNS-Transporte keinen recover()-Mechanismus besitzen, führt ein einzelnes fehlerhaftes Paket dazu, dass die gesamte Go-Laufzeit beendet wird (SIGSEGV).

3. Kollateraler Sitzungsverlust: Ein Absturz, der über einen DNS-Beacon ausgelöst wird, beendet sofort alle aktiven HTTP-, mTLS- und WireGuard-Sitzungen in der gesamten Flotte.

4. Operator-Vertreibung: Alle aktiven Operatoren werden sofort von der gRPC-Schnittstelle getrennt und verlieren dabei den gesamten ungespeicherten Zustand sowie die Echtzeitüberwachung.

5. Die Wiederherstellung erfordert manuelles Eingreifen, um den Server neu zu starten und komplexe Pivot-Ketten wiederherzustellen, was zu einer hohen Wiederherstellungszeit (Recovery Time Objective, RTO) führt.

Reproduktionsschritte:

1. Voraussetzungen: Anmeldedaten extrahieren: Beschaffen Sie das mTLS-Zertifikat, den privaten Schlüssel und den Age-Secret-Schlüssel aus einem erbeuteten Sliver-Implantat.

2. PoC bearbeiten: Öffnen Sie mtls_poc.go und ersetzen Sie die Platzhalterwerte im var-Block (c2Endpoint, clientCertPEM, clientKeyPEM, peerPrivateKey) durch Ihre extrahierten Anmeldedaten.