CVE-2024-28995: Detalles y Explotación
Descripción de la Vulnerabilidad:
CVE-2024-28995 es una vulnerabilidad crítica encontrada en ciertos dispositivos de red. Esta vulnerabilidad permite a un atacante ejecutar código arbitrario en el sistema afectado debido a una validación inadecuada de entradas o un desbordamiento de búfer. Los atacantes pueden explotar esta vulnerabilidad para tomar control total del dispositivo.
Impacto:
- Ejecución remota de código (RCE)
- Compromiso completo del sistema
- Posibilidad de instalar malware o spyware
- Acceso no autorizado a datos sensibles
Paso a Paso para Explotar CVE-2024-28995
- Identificación del Dispositivo Vulnerable:
- Utiliza herramientas de escaneo de red como Nmap para identificar dispositivos con la versión específica del firmware vulnerable.
- Ejemplo:
nmap -p 80 --script http-vuln-cve2024-28995 <target-ip>
- Preparar el Payload:
- Crea un payload malicioso que aproveche el desbordamiento de búfer o la validación inadecuada.
- Herramientas como Metasploit pueden ser útiles para generar payloads personalizados.
- Envía el Payload:
- Utiliza un script o una herramienta como curl para enviar el payload malicioso al dispositivo.
- Ejemplo:
curl -X POST -d 'data=<payload>' http://<target-ip>/vulnerable-endpoint
- Ganar Acceso:
- Una vez que el payload se ejecuta, el atacante puede obtener una shell reversa o ejecutar comandos arbitrarios en el dispositivo comprometido.
- Mantener el Acceso:
- Instala un backdoor o utiliza técnicas de persistencia para mantener el acceso al dispositivo comprometido.
Medidas de Protección
- Actualizar el Firmware:
- Asegúrate de que todos los dispositivos utilicen la última versión del firmware. Los fabricantes suelen publicar parches para vulnerabilidades conocidas.
- Configurar la Red de Manera Segura:
- Implementa listas de control de acceso (ACL) para limitar el acceso a los dispositivos críticos solo a direcciones IP de confianza.
- Utiliza firewalls para proteger los dispositivos de conexiones no autorizadas.
- Monitoreo y Detección:
- Implementa sistemas de detección de intrusiones (IDS) para monitorear el tráfico de la red y detectar actividades sospechosas.
- Revisa regularmente los logs del sistema para identificar intentos de explotación.
- Deshabilitar Servicios No Necesarios:
- Desactiva cualquier servicio que no sea esencial para el funcionamiento del dispositivo.
- Seguridad de Contraseñas:
- Utiliza contraseñas fuertes y únicas para todos los dispositivos y cambia las contraseñas predeterminadas inmediatamente.
- Segmentación de la Red:
- Segmenta la red en diferentes zonas de seguridad para minimizar el impacto de una posible explotación.
Resumen
Para protegerse contra CVE-2024-28995, es crucial mantener los dispositivos actualizados, configurar la red de manera segura, monitorear las actividades sospechosas y deshabilitar servicios no necesarios. Con estas medidas, se puede reducir significativamente el riesgo de explotación.
Claro, aquí tienes la información condensada:
- 🛡️ CVE-2024-28995 Detalle: Vulnerabilidad de transversal de directorio en SolarWinds Serv-U.
- 📂 Descripción: Permite acceso a lectura de archivos confidenciales en el host.
- 📊 Métricas CVSS 4.0: Gravedad alta, detalles vectoriales N/A.
- 🔗 Referencias: Consulta el aviso de seguridad en SolarWinds.
- 🛠️ CWE-ID: CWE-22, Limitación incorrecta de un nombre de ruta a un directorio restringido (‘recorrido de ruta’).
- Aquí tienes los puntos condensados con emojis:
- 🕵️♂️ CVE-2024-28995: Recorrido de ruta automatizado y lectura de archivos locales
- 📊 Funciones:
- 🔄 Detección de versiones: recupera la versión de Serv-U del encabezado del servidor.
- 🛡️ Comprobación de vulnerabilidades: compara la versión detectada con una versión vulnerable conocida (o inferior) 15.4.2.
- 🖥️ Pruebas de ruta predeterminadas: prueba las rutas predefinidas para Windows y Linux para determinar la vulnerabilidad del servidor.
- 📂 Pruebas de rutas personalizadas: permite a los usuarios especificar rutas de acceso personalizadas de directorios y archivos para probar la vulnerabilidad de lectura de archivos.
- 📝 Prueba de ruta de lista de palabras: admite el uso de una lista de palabras para probar varias rutas en busca de vulnerabilidades de lectura de archivos.
- Stuub/CVE-2024-28995: CVE-2024-28955 PoC de explotación (github.com)
Para utilizar esta herramienta, es necesario tener instalado Python. Ejecute el script con los argumentos adecuados:
python3 CVE-2024-28995.py -u [-d ] [-f ] [-w ]
Argumentos
-u, –url: URL to exploit (required).
-d, –dir: Directory path for File Read (e.g., ProgramData/RhinoSoft/Serv-U/).
-f, –file: File to read for File Read (e.g., Serv-U-StartupLog.txt or passwd).
-w, –wordlist: Wordlist for additional paths to test.
Estos códigos son opciones que se pueden utilizar al ejecutar un script o programa para explotar una vulnerabilidad en un sistema. Aquí está una explicación clara y concisa de cada uno:
-u, --url: Esta opción es requerida y se utiliza para especificar la URL del sistema que se va a explotar.-d, --dir: Esta opción se utiliza para especificar la ruta del directorio en el que se encuentra el archivo que se desea leer durante la explotación. Por ejemplo,ProgramData/RhinoSoft/Serv-U/.-f, --file: Esta opción se utiliza para especificar el nombre del archivo que se desea leer durante la explotación. Por ejemplo,Serv-U-StartupLog.txtopasswd.-w, --wordlist: Esta opción se utiliza para especificar una lista de palabras que se probarán como rutas adicionales durante la explotación.
Estas opciones proporcionan flexibilidad al usuario para personalizar la explotación de la vulnerabilidad de acuerdo a sus necesidades y al sistema que se está atacando.
Ejemplo
python3 CVE-2024-28995.py -u http://example.com -d ProgramData/RhinoSoft/Serv-U/ -f Serv-U-StartupLog.txt
Referencias
https://www.labs.greynoise.io/grimoire/2024-06-solarwinds-serv-u
Probando