CVE-2026-1731 — BeyondTrust RS/PRA पैसिव भेद्यता स्कैनर

    ╔═══════════════════════════════════════════════════════════════╗
    ║                                                               ║
    ║                      CVE-2026-1731                            ║
    ║       BeyondTrust RS/PRA Passive Vulnerability Scanner        ║
    ║                                                               ║
    ╠═══════════════════════════════════════════════════════════════╣
    ║   PASSIVE SCANNER — EDUCATIONAL & AUTHORIZED USE ONLY         ║
    ║                                                               ║
    ║   Performs passive fingerprinting via standard HTTP GET.      ║
    ║   No exploit payloads sent. No WebSocket connections.         ║
    ║   Only use against systems you own or are authorized to test. ║
    ║                                                               ║
    ║   Methods: BRDF version extraction, /check_health,            ║
    ║            static asset sizing, /get_mech_list API,           ║
    ║            HTML analysis, copyright year, /nw probe           ║
    ║                                                               ║
    ║   Author: NetGuard 24/7 LLC                                   ║
    ║   Web:    https://netguard24-7.com                            ║
    ╚═══════════════════════════════════════════════════════════════╝

CVE-2026-1731 के लिए एक पैसिव भेद्यता स्कैनर — BeyondTrust Remote Support (RS) और Privileged Remote Access (PRA) में एक गंभीर (CVSS 9.9) प्री-ऑथेंटिकेशन रिमोट कोड निष्पादन भेद्यता।

यह टूल केवल मानक HTTP GET अनुरोधों का उपयोग करके कमजोर BeyondTrust इंस्टेंस की पहचान करता है। कोई एक्सप्लॉइट पेलोड नहीं भेजा जाता। कोई WebSocket कनेक्शन स्थापित नहीं किया जाता। कोई प्रमाणीकरण प्रयास नहीं किया जाता।

अपडेट: 2/16/2026 हॉटफिक्स BT26-02-RS या BT26-02-PRA लागू करने से नीचे दिए गए BeyondTrust इंस्टेंस RS (v21.3 - 25.3.1) या PRA (v22.1 - 24.X) कमजोर दिखाई देंगे, क्योंकि हॉटफिक्स के परिणामस्वरूप संस्करण वृद्धि नहीं होगी, इसलिए हॉटफिक्स (BT26-02-RS या BT26-02-PRA) के साथ पैच किए गए इंस्टेंस कमजोर दिखाई देंगे। एक बार बेस रिलीज़ अपग्रेड हो जाने के बाद, इंस्टेंस कमजोर नहीं दिखाई देगा"। विक्रेता के अनुसार आधिकारिक फिक्स Remote Support 25.3.2 और उससे अधिक | Privileged Remote Access 25.1 और उससे अधिक में संबोधित किया गया है

लेखक: NetGuard 24/7 LLC

⚠️ कानूनी अस्वीकरण

यह टूल केवल शैक्षिक और अधिकृत रक्षात्मक उद्देश्यों के लिए प्रदान किया गया है।

आप इस टूल का उपयोग केवल उन सिस्टम के विरुद्ध कर सकते हैं जिनके आप मालिक हैं या जिनके परीक्षण के लिए आपके पास स्पष्ट लिखित प्राधिकरण है। उन सिस्टम की अनधिकृत स्कैनिंग जिनके आप मालिक नहीं हैं, लागू कानूनों का उल्लंघन कर सकती है, जिसमें Computer Fraud and Abuse Act (CFAA) और अन्य न्यायक्षेत्रों में समान क़ानून शामिल हैं।

लेखक इस टूल के दुरुपयोग के लिए कोई दायित्व नहीं मानते हैं। इस सॉफ़्टवेयर का उपयोग करके, आप इसे जिम्मेदारी से और सभी लागू कानूनों और विनियमों के अनुपालन में उपयोग करने के लिए सहमत होते हैं।

भेद्यता अवलोकन

CVE-2026-1731 CVE-2024-12356 का एक प्रकार है (वह भेद्यता जिसका उपयोग चीनी APT ने अमेरिकी ट्रेजरी में सेंध लगाने के लिए किया था)। दोनों एक ही /nw WebSocket एंडपॉइंट और अंतर्निहित thin-scc-wrapper Bash स्क्रिप्ट को लक्षित करते हैं। CVE-2024-12356 के लिए BT24-10 पैच ने एक संख्यात्मक सत्यापन जांच जोड़ी, लेकिन remoteVersion पैरामीटर के Bash अंकगणित मूल्यांकन को रोकने में विफल रहा — जिसका CVE-2026-1731 शोषण करता है।

यह कैसे काम करता है

यह स्कैनर 8 पैसिव फिंगरप्रिंटिंग विधियों का उपयोग करता है — लाइव BeyondTrust इंस्टेंस के विरुद्ध मान्य — बिना कोई एक्सप्लॉइट ट्रैफ़िक भेजे उत्पाद संस्करण और भेद्यता स्थिति निर्धारित करने के लिए।

पहचान विधियाँ

विधि 1 (BRDF) वही तकनीक है जिसका उपयोग Metasploit और Nessus प्लगइन 213456 करते हैं। जब BRDF एक सटीक संस्करण लौटाता है, तो विश्वास सटीक होता है। कुछ 25.x इंस्टेंस BRDF से संस्करण हटा देते हैं — ऐसे मामलों में, विधियाँ 2-6 को स्कोर किया जाता है और संस्करण सीमा का अनुमान लगाने के लिए पुष्टि की जाती है।

यह टूल क्या नहीं करता

❌ WebSocket अपग्रेड अनुरोध भेजना
❌ /nw पर तैयार पेलोड संचारित करना
❌ किसी भी प्रकार का शोषण प्रयास करना
❌ प्रमाणीकरण या ब्रूट-फोर्सिंग करना
❌ लक्ष्य प्रणालियों पर किसी भी डेटा को संशोधित करना
❌ स्थायी या स्टेटफुल कनेक्शन स्थापित करना

त्वरित प्रारंभ

आवश्यकताएँ

Python 3.8+
कोई बाहरी निर्भरता नहीं (केवल stdlib)

स्थापना

git clone https://github.com/YOUR_USERNAME/cve-2026-1731-scanner.git
cd cve-2026-1731-scanner
chmod +x cve_2026_1731_scanner.py

एकल लक्ष्य स्कैन

python3 cve_2026_1731_scanner.py -t support.example.com -v

फ़ाइल से बल्क स्कैन

# एक लक्ष्य सूची बनाएं (प्रति पंक्ति एक होस्ट)
cat > targets.txt << 'EOF'
support.example.com
pra.example.com
192.168.1.50
10.0.0.100:8443
remote-support.beyondtrustcloud.com
EOF

# स्कैन चलाएं
python3 cve_2026_1731_scanner.py -f targets.txt --threads 20 -o results.csv --json results.json -v

पूर्ण उपयोग

usage: cve_2026_1731_scanner.py [-h] (-t TARGET | -f FILE) [-o OUTPUT]
                                 [--json JSON_OUTPUT] [--threads THREADS] [-v]

options:
  -t, --target TARGET     एकल लक्ष्य होस्टनाम या IP
  -f, --file FILE         लक्ष्यों वाली फ़ाइल (प्रति पंक्ति एक)
  -o, --output OUTPUT     परिणाम CSV फ़ाइल में निर्यात करें
  --json JSON_OUTPUT      परिणाम JSON फ़ाइल में निर्यात करें
  --threads THREADS       समवर्ती थ्रेड (डिफ़ॉल्ट: 10)
  -v, --verbose           प्रति-लक्ष्य विस्तृत आउटपुट

इनपुट प्रारूप

लक्ष्य फ़ाइल लचीला इनपुट स्वीकार करती है — प्रति पंक्ति एक प्रविष्टि:

# टिप्पणियाँ समर्थित हैं (# से शुरू होने वाली पंक्तियाँ)
192.168.1.1
10.0.0.5
support.example.com
support.example.com:8443
https://support.example.com
http://support.example.com    # स्वचालित रूप से HTTPS में अपग्रेड किया गया
support.example.com/login     # पथ स्वचालित रूप से हटा दिए जाते हैं

आउटपुट को समझना

जोखिम स्तर

स्तर	अर्थ

संस्करण विश्वास

निकास कोड (CI/CD एकीकरण)

कोड	अर्थ
`0`	कोई गंभीर या उच्च निष्कर्ष नहीं
`1`	उच्च-जोखिम निष्कर्ष पाए गए
`2`	गंभीर निष्कर्ष पाए गए

# उदाहरण: CI/CD पाइपलाइन एकीकरण
python3 cve_2026_1731_scanner.py -f targets.txt -o results.csv
if [ $? -eq 2 ]; then
    echo "CRITICAL: Vulnerable BeyondTrust instances found!"
    # trigger alert / page on-call / open ticket
fi

उदाहरण आउटपुट

  [*] Scanning https://support.example.com...
      Status: VULNERABLE [CRITICAL]
      Version: 24.1.4 (via BRDF /get_rdf, confidence: EXACT)
      Company: examplecorp
      Product: Remote Support
      Signals: health=old, login.js=36458B, html=modern, ©2024
      /nw: REACHABLE

CSV और JSON निर्यात

CSV फ़ील्ड

उपचार

यदि स्कैनर कमजोर इंस्टेंस की पहचान करता है:

BT26-02 पैच तुरंत लागू करें — सभी समर्थित RS/PRA संस्करणों के लिए BeyondTrust से उपलब्ध
फिक्स्ड संस्करणों में अपग्रेड करें: RS 25.3.2+ या PRA 25.1.1+
यदि RS < 21.3 या PRA < 22.1 चला रहे हैं: पैच लागू करने से पहले पूर्ण उत्पाद अपग्रेड आवश्यक है
नेटवर्क नियंत्रण: यदि तत्काल पैचिंग संभव नहीं है तो /nw WebSocket एंडपॉइंट तक पहुंच प्रतिबंधित करें
समझौते की खोज करें: $() या बैकटिक्स वाले असामान्य remoteVersion मानों के साथ /nw के लिए WebSocket कनेक्शन के लिए लॉग जांचें
SaaS इंस्टेंस: 2 फरवरी 2026 को स्वचालित रूप से पैच किए गए थे — अपने BeyondTrust पोर्टल में सत्यापित करें

संदर्भ

योगदान

पुल अनुरोधों का स्वागत है। यदि आप अतिरिक्त पैसिव फिंगरप्रिंटिंग विधियों या संस्करण सहसंबंध संकेतों की खोज करते हैं, तो कृपया एक मुद्दा या PR खोलें।

लाइसेंस

MIT लाइसेंस — विवरण के लिए LICENSE देखें।

लेखक

NetGuard 24/7 LLC https://netguard24-7.com

CVE	CVE-2026-1731
CVSS	9.9 (गंभीर)
परामर्श	BT26-02
प्रकार	प्री-ऑथेंटिकेशन रिमोट कोड निष्पादन
वेक्टर	WebSocket एंडपॉइंट `/nw` — Bash अंकगणित मूल्यांकन इंजेक्शन
प्रभावित	RS ≤ 25.3.1, PRA ≤ 24.3.4
फिक्स्ड	RS 25.3.2+, PRA 25.1.1+
शोषण	12 फरवरी 2026 तक जंगल में सक्रिय

1	BRDF संस्करण निष्कर्षण	`GET /get_rdf?comp=sdcust&locale_code=en-us`	बाइनरी हेडर से सटीक उत्पाद संस्करण (जैसे, `24.1.4`)	सटीक
2	/check_health प्रतिक्रिया	`GET /check_health`	`"Health Check: Succeeded"` = पूर्व-25.x / `"Status: Primary"` = 25.x+	उच्च
3	स्थैतिक संपत्ति आकार	`HEAD /js/login.js`	फ़ाइल आकार: ~36K-39K = पूर्व-25.x / ~12K = 25.x+	उच्च
4	/get_mech_list API	`GET /get_mech_list?version=3`	कंपनी का नाम + `thin_rep_enabled` फ़ील्ड (केवल 25.x+)	उच्च
5	HTML संरचना	`GET /login`	XHTML 1.1 + BOMGAR = पूर्व-25.x / HTML5 = 25.x+	मध्यम
6	कॉपीराइट वर्ष	`GET /login` फ़ुटर	`2002-2024` = पूर्व-25.x / `2002-2025` = 25.x	मध्यम
7	पोर्टल जानकारी	`GET /get_portal_info`	X-Ns-Company मान (हमलावर टोही संकेतक)	—
8	WebSocket प्रोब	`GET /nw` (केवल HTTP)	हमले की सतह की पहुंच की पुष्टि करता है	—

सटीक	BRDF `/get_rdf`	बाइनरी से निकाला गया सटीक संस्करण स्ट्रिंग (जैसे, `24.1.4`)
उच्च	बहु-संकेत (3+)	3 या अधिक स्वतंत्र संकेत 0 विरोधाभासों के साथ सहमत हैं
मध्यम	बहु-संकेत (2+)	अधिकांश संकेत सहमत हैं लेकिन कुछ अस्पष्टता के साथ
निम्न	अनिर्णायक	विरोधाभासी या अपर्याप्त संकेत

`target`	स्कैन किया गया URL
`is_beyondtrust`	क्या BeyondTrust का पता चला
`product_type`	Remote Support या Privileged Remote Access
`product_version`	सटीक संस्करण (यदि BRDF से निकाला गया हो)
`version_source`	संस्करण कैसे निर्धारित किया गया
`version_confidence`	सटीक, उच्च, मध्यम, या निम्न
`company_name`	X-Ns-Company मान (शोषण में उपयोग किया जाता है)
`copyright_year`	लॉगिन पृष्ठ फ़ुटर से
`health_check_type`	`old` (पूर्व-25.x) या `new` (25.x+)
`login_js_size`	/js/login.js की फ़ाइल आकार
`thin_rep_enabled`	केवल 25.x+ में मौजूद
`html_generation`	`legacy` (XHTML) या `modern` (HTML5)
`is_saas`	SaaS (.beyondtrustcloud.com) इंस्टेंस
`ws_endpoint_reachable`	क्या /nw प्रतिक्रिया देता है
`vulnerability_status`	मूल्यांकन परिणाम
`risk_level`	गंभीर, उच्च, मध्यम, निम्न, या जानकारी
`details`	मानव-पठनीय मूल्यांकन विवरण

cve-2026-1731-scanner

सबसे लोकप्रिय