CVE-2019-0708

Неаутентифицированный CVE-2019-0708 "BlueKeep" сканер PoC от @JaGoTu и @zerosum0x0.

Технические подробности: https://zerosum0x0.blogspot.com/2019/05/avoiding-dos-how-bluekeep-scanners-work.html

Модуль Metasploit

Модуль Metasploit был добавлен в rapid7:master.

msf5> use auxiliary/scanner/rdp/cve_2019_0708_bluekeep

https://github.com/rapid7/metasploit-framework/pull/11869

RDPScan

Если вы здесь ради C-версии сканера, взгляните на форк этого проекта от ErrataRob, который сокращает лишнее и делает сканирование больших диапазонов быстрее и проще.

https://github.com/robertdavidgraham/rdpscan

В этом репозитории

Форк rdesktop-сканера, который может определить, уязвим ли хост для CVE-2019-0708 — уязвимости удалённого выполнения кода в службах удалённого рабочего стола Microsoft Windows. Он не должен вызывать отказ в обслуживании, но не существует 100% гарантии для всех уязвимых версий стека RDP за прошедшие годы. Поскольку он неаутентифицирован, результаты для хостов с NLA (подтверждённая мера защиты) будут ненадёжными.

Сканер CVE-2019-0708

Сборка и запуск

В репозитории есть готовый бинарник rdesktop, но обычный процесс сборки rdesktop выглядит так:

git clone https://github.com/zerosum0x0/CVE-2019-0708.git
cd CVE-2019-0708/rdesktop-fork-bd6aa6acddf0ba640a49834807872f4cc0d0a773/
./bootstrap
./configure --disable-credssp --disable-smartcard
make
./rdesktop 192.168.1.7:3389

Этот форк rdesktop хорошо поддерживается только в среде X11 GUI Linux. На других платформах результаты могут отличаться. Пожалуйста, обратитесь к обычным инструкциям по компиляции rdesktop или посмотрите, как собирается Docker-образ.

Инструкции по Docker

Вы также можете собрать из исходников с помощью Dockerfile, а затем запустить rdesktop, используя этот образ:

docker build . -t cve-2019-0708:latest
docker run cve-2019-0708:latest 192.168.1.7:3389

Чтобы просканировать подсеть или хосты, проиндексированные Shodan, соберите Docker-образ и запустите scan_with_docker.py:

./scan_with_docker.py 'asn:ASXXXX port:3389'
Not a valid subnet. Trying to use as Shodan search terms ...
Shodan search returned 498 hosts, press enter to start scan
Vulnerable hosts:
x.x.x.x
x.x.x.x
[...]

./scan_with_docker.py 192.168.1.0/24
Vulnerable hosts:
192.168.1.28
192.168.1.30
[...]

Это опасно?

Небольшие детали уязвимости уже начали проникать в мейнстрим. Этот инструмент не даёт атакующим лёгкого пути к теоретическому RCE.

Модификация этого PoC для вызова отказа в обслуживании снижает порог входа, но также потребует определённых усилий. Изначально мы не предоставляли объяснения того, как работает этот сканер, кроме заверения пользователя, что он кажется точным в тестах и следует логическому пути.

Системным администраторам нужны такие инструменты для обнаружения уязвимых хостов. Этот инструмент предоставляется только в законных целях и для продвижения понимания этой уязвимости сообществом безопасности. Поскольку этот PoC активно эксплуатирует уязвимость, не используйте его против целей без предварительного разрешения.

Авторы

Лицензия

Форк rdesktop лицензирован под GPLv3.

Модуль Metasploit лицензирован под Apache 2.0.

CVE-2019-0708-Msf--

Популярное