sugib3o/check-vuln-cve-2019-0708Verificar vulnerabilidade CVE 2019-0708
Scanner PoC não autenticado para CVE-2019-0708 "BlueKeep" por @JaGoTu e @zerosum0x0.
PR do módulo Metasploit: https://github.com/rapid7/metasploit-framework/pull/11869
Um fork do rdesktop com scanner que pode detectar se um host é vulnerável à vulnerabilidade de execução remota de código do Microsoft Windows Remote Desktop Services (CVE-2019-0708). Ele não deve causar negação de serviço, mas não há 100% de garantia em todas as versões vulneráveis da pilha RDP ao longo dos anos. Como não é autenticado, o scanner não terá resultados confiáveis para hosts com NLA (que é uma mitigação confirmada).
Também há um módulo Metasploit, que atualmente é um trabalho em andamento (o MSF não possui uma biblioteca RDP).
Há um binário rdesktop pré-compilado no repositório, mas segue o processo normal de compilação do rdesktop:
git clone https://github.com/zerosum0x0/CVE-2019-0708.git
cd CVE-2019-0708/rdesktop-fork-bd6aa6acddf0ba640a49834807872f4cc0d0a773/
./bootstrap
./configure --disable-credssp --disable-smartcard
make
./rdesktop 192.168.1.7:3389
Este fork do rdesktop é bem suportado apenas em um ambiente Linux com interface gráfica X11. Os resultados podem variar em outras plataformas. Consulte as instruções normais de compilação do rdesktop ou veja como a imagem Docker é construída.
Você também pode compilar a partir do código-fonte usando o Dockerfile e depois executar o rdesktop com essa imagem:
docker build . -t cve-2019-0708:latest
docker run cve-2019-0708:latest 192.168.1.7:3389
Pequenos detalhes da vulnerabilidade já começaram a chegar ao público em geral. Esta ferramenta não concede aos atacantes um caminho livre para um RCE teórico.
Modificar esta PoC para acionar a negação de serviço reduz a barreira de entrada, mas também exigirá algum esforço. Atualmente, não oferecemos nenhuma explicação de como este scanner funciona, a não ser dizer ao usuário que parece ser preciso em testes e segue um caminho lógico.
Administradores de sistema precisam de ferramentas como esta para descobrir hosts vulneráveis. Esta ferramenta é oferecida apenas para fins legais e para avançar o entendimento da comunidade de segurança sobre esta vulnerabilidade. Como esta PoC explora ativamente a vulnerabilidade, não a utilize contra alvos sem permissão prévia.
O fork do rdesktop é licenciado como GPLv3. O módulo Metasploit é licenciado como Apache 2.0. Referência: https://github.com/zerosum0x0/CVE-2019-0708