ccievoice2009/cve-2024-49112Exploit per CVE-2024-49112, una vulnerabilità critica di RCE in Windows LDAP, che provoca un crash tramite interazioni Netlogon e LDAP appositamente predisposte.
Un exploit per CVE-2024-49112 segnalata da Yuki Chen (@guhe120). Una vulnerabilità nel protocollo Lightweight Directory Access Protocol (LDAP) di Windows.
Creato da SafeBreach Labs (pubblicato il 1° gennaio 2025). Per l'analisi tecnica completa della vulnerabilità e di come siamo riusciti a sfruttarla, consulta il post del blog qui
CVE-2024-49112 è una vulnerabilità critica nel client LDAP di Windows che, secondo Microsoft, consente l'esecuzione remota di codice. Questo exploit sfrutta la vulnerabilità per causare il crash dei sistemi Windows Server di destinazione interagendo con il loro protocollo Netlogon Remote Protocol (NRPC) e con il client LDAP.
https://github.com/user-attachments/assets/1cbda4a9-943a-4e07-a95a-b20e45863ec3
Installare le dipendenze:
Assicurarsi che tutti i pacchetti Python richiesti siano installati. Puoi installarli usando pip e il file requirements.txt fornito:
pip install -r requirements.txt
Configurare l'exploit:
target_ip: indirizzo IP della macchina di destinazione.port: porta TCP per la comunicazione RPC (predefinita: 49664).listen_port: porta UDP su cui il server dell'exploit deve rimanere in ascolto (predefinita: 389). Se non viene modificata, lo strumento deve essere eseguito con privilegi di amministratore o root.domain_name: un nome di dominio su internet di proprietà dell'attaccante. Questo dominio deve avere due record DNS SRV al suo interno. (I record SRV mappano un dominio a una porta e a un altro dominio):
domain_name -> listen_port hostname della macchina dell'attaccantedomain_name -> listen_port hostname della macchina dell'attaccantehostname della macchina dell'attaccante funzionerà supponendo che il server vittima possa trovare la macchina dell'attaccante tramite il suo hostname usando NBNS. Al posto dell'hostname dell'attaccante, questo valore può essere sostituito con un nome di dominio su internet che punti verso l'IP di un server LDAP dannoso che sfrutta la vulnerabilità.account: parametro del nome dell'account (predefinito: Administrator).site_name: parametro del nome del sito (predefinito: stringa vuota).python LdapNightmare.py <target_ip> --domain-name <domain_name> [options]
Esempio:
python LdapNightmare.py 192.168.1.100 --domain-name example.com
Avvia il server dell'exploit:
Lo script avvia un server LDAP asincrono che rimane in ascolto per connessioni in arrivo sulla porta UDP specificata.
Invoca DsrGetDcNameEx2:
Lo script chiama la funzione DsrGetDcNameEx2 tramite il Netlogon Remote Protocol per indurre il server vittima a inviare una query LDAP all'attaccante.
Attiva la vulnerabilità:
Inviando una risposta appositamente costruita, l'exploit attiva la vulnerabilità CVE-2024-49112, causando il crash del server vittima.
| Or Yair | Shahak Morag | |
|---|---|---|
| Or Yair | Shahak Morag | |
| @oryair1999 | @shahakmo |