HttpRemotingObjRefLeak

Ressources supplémentaires pour fuiter et exploiter les ObjRefs via HTTP .NET Remoting (CVE-2024-29059)

1. Ouvrez Visual Studio 2019.
2. Sélectionnez Fichier > Nouveau > Projet.
3. Sélectionnez Application Web ASP.NET (.NET Framework) C#, puis Suivant.
4. Sélectionnez .NET Framework 4.5.2, puis Créer.
5. Sélectionnez Vide, puis Créer.
6. Sélectionnez Projet > Ajouter une télémétrie Application Insights.
7. Sélectionnez SDK Application Insights (local), puis Suivant.
8. Cochez Packages NuGet, puis cliquez sur Terminer.

Si les mises à jour .NET Framework de janvier 2024 sont installées, ouvrez le fichier Web.config et ajoutez ce qui suit sous /configuration/appSettings pour réactiver le comportement vulnérable :

Vous pouvez ensuite exécuter l'application web via Déboguer > Démarrer sans débogage ou en appuyant sur Ctrl+F5.

2. Détection des fuites d'ObjRef

Vous pouvez utiliser les requêtes suivantes pour fuiter les ObjRefs des instances MarshalByRefObject stockées dans le LogicalCallContext :

• BinaryServerFormatterSink :

  root@kitploit:~

  GET /RemoteApplicationMetadata.rem?wsdl HTTP/1.0
  __RequestVerb: POST
  Content-Type: application/octet-stream
  

• SoapServerFormatterSink :

  root@kitploit:~

  GET /RemoteApplicationMetadata.rem?wsdl HTTP/1.0
  __RequestVerb: POST
  Content-Type: text/xml
  

Les URI ObjRef fuites peuvent ensuite être trouvées à l'aide de l'expression régulière suivante :

3. Exemples de charges utiles de désérialisation

Nous avons créé deux charges utiles de désérialisation simples basées sur le gadget TextFormattingRunProperties de YSoSerial.Net avec des charges utiles XAML personnalisées qui fonctionnent sous les restrictions causées par TypeFilterLevel.Low pour effectuer les actions suivantes :

• HttpContext.Current.Response.AddHeader("Set-Cookie", "x=ad92afb4-00c3-4479-bab8-2425b5716081")
• HttpContext.Current.Response.RedirectLocation = "/ad92afb4-00c3-4479-bab8-2425b5716081"

Les en-têtes HTTP peuvent être observés dans la réponse du serveur à la requête HTTP .NET Remoting.

4. Script d'exploit

Le script RemoteApplicationMetadata.py fournit un moyen de fuiter un ObjRef existant puis de l'utiliser dans une requête ultérieure pour délivrer une charge utile donnée :

Exemple :