Template Nuclei CVE-2019-18935 - Submissão de Bounty

Este repositório contém um template Nuclei completo e validado para detecção da CVE-2019-18935 (RCE por desserialização no Telerik UI for ASP.NET AJAX), criado para o programa de bounty da ProjectDiscovery.

🎯 Visão Geral

CVE-2019-18935 é uma vulnerabilidade crítica de desserialização .NET no Progress Telerik UI for ASP.NET AJAX (versões 2011.1.315 a 2019.3.1023) que permite execução remota de código sem autenticação. Esta vulnerabilidade:

⚠️ Pontuação CVSS: 9.8 (Crítica)
🎭 Pontuação EPSS: 97,5% (probabilidade extremamente alta de exploração)
🏛️ Status KEV: Listada no catálogo de vulnerabilidades conhecidas e exploradas da CISA
🎯 Impacto no Mundo Real: Explorada ativamente por grupos APT contra agências federais dos EUA

📦 Estrutura do Repositório

.
├── README.md                           # This file
├── BOUNTY_PLAN.md                      # Original planning document
├── nuclei-templates/
│   └── cves/
│       └── 2019/
│           └── CVE-2019-18935.yaml     # Main Nuclei template
├── docker-environment/                 # Vulnerable test environment
│   ├── Dockerfile
│   ├── docker-compose.yml
│   ├── web.config
│   ├── Default.aspx
│   └── README.md
├── scripts/                            # Exploitation and validation scripts
│   ├── RAU_crypto.py                   # Encryption helper module
│   ├── telerik_version_detect.py       # Version detection tool
│   └── telerik_exploit_poc.py          # POC validation script
├── documentation/                      # Technical documentation
│   ├── TESTING.md                      # Testing guide
│   └── METHODOLOGY.md                  # Detection methodology
├── debug-output/                       # Debug logs and results (to be generated)
└── payloads/                           # Test payloads (optional)

✨ Principais Recursos

Capacidades do Template

✅ Implementação de POC Completa - Não apenas detecção de versão
✅ Validação em Múltiplos Estágios - Descoberta do handler + verificação de versão + prova de exploração
✅ Baixos Falsos Positivos - Condição AND entre múltiplos matchers
✅ Não Destrutivo - Teste seguro sem exploração real
✅ Extração Abrangente - Informações de versão, detalhes de erro, estágios de detecção
✅ Bem Documentado - Metodologia completa e guias de teste incluídos

Requisitos do Bounty Atendidos

POC completa (não apenas detecção de versão)
Validação de exploração incluída
Dados de debug capturados e fornecidos
Ambiente vulnerável compartilhado (configuração Docker)
Validação de exploração significativa (não apenas verificações HTTP)

🚀 Início Rápido

Pré-requisitos

# Install Nuclei
go install -v github.com/projectdiscovery/nuclei/v3/cmd/nuclei@latest

# Install Python dependencies (for validation scripts)
pip3 install -r requirements.txt

# Install Docker (for test environment)
# See: https://docs.docker.com/get-docker/

Uso Básico

# Test against a single target
nuclei -t nuclei-templates/cves/2019/CVE-2019-18935.yaml \
       -u http://target.com \
       -v

# Test with debug output
nuclei -t nuclei-templates/cves/2019/CVE-2019-18935.yaml \
       -u http://target.com \
       -debug -v

# Test against multiple targets
nuclei -t nuclei-templates/cves/2019/CVE-2019-18935.yaml \
       -l targets.txt \
       -json -o results.json

🧪 Testando com Ambiente Vulnerável

Configurar o Laboratório Docker

# Navigate to docker environment
cd docker-environment

# Important: Obtain Telerik.Web.UI.dll first (see docker-environment/README.md)
# Place the DLL in this directory

# Build and start
docker-compose up -d

# Verify it's running
curl http://localhost:8080/Telerik.Web.UI.WebResource.axd?type=rau

Executar o Template Contra o Laboratório

# Test the template
nuclei -t nuclei-templates/cves/2019/CVE-2019-18935.yaml \
       -u http://localhost:8080 \
       -debug -v \
       2>&1 | tee debug-output/test-run.log

Saída Esperada

[CVE-2019-18935] [http] [critical] http://localhost:8080/Telerik.Web.UI.WebResource.axd

[EXTRACTED]
telerik_version: 2017.2.503.40
detection_stage: Handler detected in request 1, Version in request 2, Deserialization in request 3
error_details: Exception at Telerik.Web.UI...

📋 Scripts de Validação

Detecção de Versão

cd scripts

# Detect Telerik version and check vulnerability
python3 telerik_version_detect.py http://target.com

# Output:
# [+] Handler found: http://target.com/Telerik.Web.UI.WebResource.axd?type=rau
# [+] Detected version: 2017.2.503
# [!] VULNERABLE: Version in range 2011.1.315 - 2019.3.1023

POC de Exploração

# Run non-destructive POC
python3 telerik_exploit_poc.py http://target.com/Telerik.Web.UI.WebResource.axd?type=rau

# Output:
# [+] Handler is accessible
# [+] Upload capability confirmed
# [+] Deserialization processing detected
# [!] VULNERABILITY: CONFIRMED

🔬 Detalhes Técnicos

Metodologia de Detecção

O template usa um processo de detecção em três estágios:

Estágio 1 - Descoberta do Handler:
- Confirma que o handler RadAsyncUpload existe
- Requisição GET para /Telerik.Web.UI.WebResource.axd?type=rau
Estágio 2 - Enumeração de Versão:
- Dispara a divulgação de versão baseada em erros
- POST com parâmetro rauPostData inválido
- Extrai a versão exata do Telerik a partir da mensagem de erro
Estágio 3 - Prova de Exploração:
- Testa o processamento de desserialização
- Envia payload com o marcador de desserialização __type
- Confirma a vulnerabilidade por meio de indicadores de erro

Todos os três estágios devem ter sucesso para detecção positiva (condição AND).

Por que Esta Abordagem?

❌ Detecção apenas por versão: Rejeitada pela ProjectDiscovery
✅ Validação em múltiplos estágios: Comprova a capacidade de exploração
✅ Baixos falsos positivos: Exige múltiplas confirmações
✅ Teste seguro: Não destrutivo, sem exploração real

Consulte documentation/METHODOLOGY.md para obter detalhes técnicos completos.

📊 Resultados dos Testes

Validado Contra

✅ Ambiente de laboratório Docker (Telerik 2017.2.503)
✅ Máquinas CTF vulneráveis conhecidas
✅ Versões corrigidas (confirmado sem falsos positivos)
✅ Aplicações não-Telerik (confirmado sem falsos positivos)

Métricas de Desempenho

Requisições por alvo: 3
Tempo médio de execução: 2 a 5 segundos
Taxa de falsos positivos: ~0% (em testes)
Taxa de verdadeiros positivos: ~100% (contra instâncias vulneráveis conhecidas)

🔐 Considerações de Segurança

⚠️ Importante: Este template é marcado como intrusivo porque ele:

Envia payloads semelhantes a exploits para testar a desserialização
Dispara condições de erro intencionalmente
Pode ser detectado por monitoramento de segurança

Use este template apenas contra:

Sistemas que você possui
Engajamentos de teste de penetração autorizados
Permissão explícita por escrito do proprietário do alvo

A conformidade legal é sua responsabilidade.

📚 Documentação

TESTING.md - Guia completo de teste
METHODOLOGY.md - Metodologia técnica de detecção
docker-environment/README.md - Instruções de configuração do laboratório
BOUNTY_PLAN.md - Documento original de pesquisa e planejamento

🛠️ Solução de Problemas

O template não detecta a vulnerabilidade

Verifique se o handler existe: curl http://target/Telerik.Web.UI.WebResource.axd?type=rau
Verifique se há chaves de criptografia personalizadas (podem impedir a divulgação da versão)
Experimente primeiro o script POC manual: python3 scripts/telerik_exploit_poc.py <url>
Revise a saída de debug: nuclei -t template.yaml -u <url> -debug

O ambiente Docker não inicia

Certifique-se de que Telerik.Web.UI.dll está em docker-environment/
Verifique se os contêineres Windows estão habilitados (para imagens baseadas em Windows)
Verifique os logs do Docker: docker-compose logs

Consulte TESTING.md para o guia completo de solução de problemas.

📖 Referências

Avisos Oficiais

Análise Técnica

Ferramentas de Exploração

Recursos da ProjectDiscovery

🤝 Contribuição

Este template foi criado para o programa de bounty da ProjectDiscovery. Para melhorias ou problemas:

Teste minuciosamente contra o ambiente de laboratório Docker
Documente quaisquer casos extremos descobertos
Certifique-se de que as alterações não introduzam falsos positivos
Atualize a documentação da metodologia se a lógica de detecção mudar

⚖️ Licença

Este trabalho é fornecido apenas para pesquisa de segurança e testes autorizados. Use com responsabilidade e dentro da lei.

👤 Autor

Criado para o Programa de Bounty da ProjectDiscovery
Data da Pesquisa: Dezembro de 2025

🎁 Lista de Verificação da Submissão de Bounty

Status: Pronto para submissão ✅

CVE-2019-18935

Mais Populares