CVE-2026-29781

---

Una vulnerabilidad arquitectónica en el servidor Sliver C2 permite la Weaponización Reverse-C2. Al extraer credenciales de un implante capturado, un defensor puede weaponizar la relación C2 para activar un Kill-Switch remoto de la infraestructura. Esta explotación apunta a una falta sistémica de validación de punteros nulos en los manejadores de Protobuf, lo que provoca un pánico global en tiempo de ejecución.

El impacto de CVE-2026-29781 es una Parálisis Operacional Total de la infraestructura C2.

1. El Cazador se convierte en la Presa: Un defensor que captura un binario de implante puede revertir el ataque y apagar el servidor Sliver por completo.

2. Colapso Multi-Transporte: Debido a que los transportes mTLS, WireGuard y DNS carecen de un mecanismo recover(), un único paquete malformado provoca la salida de todo el runtime de Go (SIGSEGV).

3. Pérdida Colateral de Sesiones: Un fallo provocado a través de un beacon DNS matará instantáneamente todas las sesiones HTTP, mTLS y WireGuard activas en toda la flota.

4. Expulsión de Operadores: Todos los operadores activos son desconectados inmediatamente de la interfaz gRPC, perdiendo todo el estado no guardado y la monitorización en tiempo real.

5. La restauración requiere intervención manual para reiniciar el servidor y restablecer complejas cadenas de pivote, creando un alto Objetivo de Tiempo de Recuperación (RTO).

Pasos de Reproducción:

1. Requisitos previos: Extraer Credenciales: Obtén el certificado mTLS, la clave privada y la clave secreta Age de un implante Sliver capturado.

2. Editar el PoC: Abre mtls_poc.go y reemplaza los valores de marcador de posición en el bloque var (c2Endpoint, clientCertPEM, clientKeyPEM, peerPrivateKey) con tus credenciales extraídas.

3. Ejecuta el exploit contra tu servidor Sliver de prueba: