th3tr1ckst3r/cve-2024-38063CVE-2024-38063-Recherche, damit du es nicht selbst tun musst.
Umfassende Forschung, um Ihnen Zeit, Energie, Nerven und Verständnis zu sparen. Ich möchte damit beginnen, dass diese spezielle CVE wie viele andere ist, die aufgrund ihres hohen Schweregrads in kurzer Zeit enorme Aufmerksamkeit erregt hat. Dies führt zu vielen Fehlinformationen und böswilligen Aktivitäten im Zusammenhang damit. Der ursprüngliche Forscher, der sie entdeckt hat, ist Wei.
Dies umfasst, aber nicht beschränkt auf, schadhafte PoC's, die auf GitHub veröffentlicht wurden und so aussehen sollen, als wären sie echte PoC's.
Daher werde ich in diesem Repository nur gültige, nicht irreführende PoC's teilen, um die weitere Forschung und das Verständnis zu fördern.
Wie der Name schon sagt, betrifft diese Sicherheitslücke nur Windows. Wenn Sie also etwas anderes verwenden, betrifft Sie dies nicht direkt.
Ich werde auch Abhilfestrategien für alle teilen, die ihre Systeme vor dieser Sicherheitslücke schützen möchten.
Issue Description:
This is a zero-click, wormable vulnerability in the IPv6 TCP/IP stack of Microsoft Windows enables attackers to remotely execute arbitrary code on affected systems without any user interaction.
Asset Description:
The issue impacts Microsoft Windows versions that support IPv6. It is particularly risky for internet-facing Windows servers and user devices with IPv6 enabled.
Vulnerability Impact:
If successfully exploited, this vulnerability could allow attackers to remotely execute arbitrary code, which might result in a full system compromise, unauthorized data access, and/or exposure of sensitive information.
Exploitation Details:
The flaw is located in the IPv6 TCP/IP component of the Windows networking stack. Attackers can exploit this vulnerability by sending specially crafted IPv6 packets to a target machine, enabling RCE without user interaction.
Patch Availability:
Microsoft has issued a security update for this vulnerability as part of the August 2024 Patch Tuesday.
It is crucial for organizations to apply this update promptly to mitigate risks.
If immediate patching isn’t feasible, disabling IPv6 on affected Windows systems can help reduce the attack surface until the patch is applied.
Das Deaktivieren von IPv6 nur auf Firewall-Ebene hat keinerlei Wirkung, um diese Sicherheitslücke zu verhindern.
Der Versuch, diese Sicherheitslücke zu reproduzieren, kann anfangs etwas mühsam sein, und es ist zutreffend zu sagen, dass es sich um eine Zero-Click-Sicherheitslücke im IPv6-TCP/IP-Stack von Microsoft Windows handelt. Sie betrifft viele Versionen von Windows 10, 11 und Windows Server.
Diese RCE-Sicherheitslücke ermöglicht es nicht, Shellcode auszuführen, sondern löst vielmehr einen Integer-Unterlauf aus, der zu einer entfernten Speicherbeschädigung führt. Dies würde effektiv Dienste auf dem anfälligen Gerät stören. Die Proof-of-Concepts, die online präsentiert werden und echt sind, wie die von Marcus Hutchins (@MalwareTech) und ynwarcs, deuten darauf hin, dass dies in den kommenden Wochen/Monaten als eine Art Denial-of-Service(DoS)-Sicherheitslücke in freier Wildbahn ausgenutzt werden könnte.
Allerdings hat der oben erwähnte PoC einen Fehler: Man muss nicht so viele Pakete spammen wie er, um das gewünschte Ergebnis zu erzielen. Einige haben vorgeschlagen, nur zwei Pakete zu verwenden, um das gewünschte Ergebnis zu erzielen, jedoch ist diese Implementierung nicht immer zuverlässig. In meinen Tests mit einem aktiven, ungepatchten Windows-Rechner in einem 60-Sekunden-Fenster werden mindestens etwa 25 Pakete benötigt, um immer das erwartete Ergebnis zu erzielen. Immer noch deutlich weniger als das ursprüngliche Design, was man als Verbesserung bezeichnen könnte. Da es den Speicherplatz immer noch exponentiell vergrößert, um ihn zu vereinen, was zur Speicherbeschädigung im Kernel führt, sehen Endbenutzer einen blauen Bildschirm.
Wenn Sie Ihre Systeme aus irgendeinem Grund nicht mit den neuesten Patches aktualisieren können, wäre die nächstbeste Möglichkeit, IPv6 auf allen Netzwerkschnittstellen zu deaktivieren, um die Angriffsfläche für diesen Exploit erheblich zu verringern. Verwenden Sie dies jedoch nicht als langfristige Lösung, da es möglicherweise die Funktionalität Ihres Systems beeinträchtigen könnte.
Sie müssten dieses PowerShell-Skript als Administrator ausführen und es mit script.ps1 speichern:
# Check if the script is running with admin privileges
If (-NOT ([Security.Principal.WindowsPrincipal] [Security.Principal.WindowsIdentity]::GetCurrent()).IsInRole([Security.Principal.WindowsBuiltInRole] "Administrator")) {
# Restart script with admin privileges
$arguments = "& '" + $myInvocation.MyCommand.Definition + "'"
Start-Process powershell.exe -ArgumentList $arguments -Verb RunAs
Exit
}
# Disable IPv6 on all network interfaces
Get-NetAdapterBinding -ComponentID ms_tcpip6 | Where-Object {$_.Enabled -eq $true} | ForEach-Object {
Disable-NetAdapterBinding -Name $_.Name -ComponentID ms_tcpip6
}
# Optional: Confirm that IPv6 has been disabled
Write-Host "IPv6 has been disabled on all network interfaces."
Ich werde dieses GitHub-Repository in den nächsten Wochen mit weiteren Forschungsergebnissen, Updates und anderen gültigen Abhilfeoptionen aktualisieren.