ScaryByte R&D PoC für CVE-2024-55591

Ein umfassendes All-in-One Python-basiertes Proof-of-Concept-Skript zur Erkennung und Ausnutzung einer kritischen Authentifizierungsumgehung (CVE-2024-55591) in bestimmten Fortinet-Geräten. Dieses Skript:

1. Installiert fehlende Abhängigkeiten automatisch
2. Scannt optional einen Zielhost auf offene Ports mittels nmap
3. Führt Vorabprüfungen durch, um sicherzustellen, dass der Dienst ein Fortinet-Gerät und anfällig ist
4. Nutzt die WebSocket-Schnittstelle aus, um eine Telnet-ähnliche CLI-Sitzung zu übernehmen
5. Führt einen ersten oder mehrere Befehle nach der Ausnutzung aus
6. Prüft die Geräteversion gegen bekannte anfällige Bereiche aus Fortinet PSIRT FG-IR-24-535

Inhaltsverzeichnis

• Zusammenfassung der Schwachstelle
• Betroffene Versionen
• Voraussetzungen
• Verwendung
  • 1. Klonen und Installieren
  • 2. Skript ausführen
  • 3. Dem Assistenten folgen
• Funktionen
  • Automatische Abhängigkeitsinstallation
  • Optionaler Nmap-SYN-Scan
  • Multi-Port-Test
  • Post-Exploitation-Befehle
  • Versionsanalyse und Schwachstellenprüfung
• Beispielablauf
  • 1. Anfängliche Assistentenaufforderungen
  • 2. Nmap-Ergebnisse und Portauswahl
  • 3. Ausnutzungsablauf
  • 4. Post-Exploitation-Ablauf
• Haftungsausschluss

Zusammenfassung der Schwachstelle

CVE-2024-55591 ist eine kritische Authentifizierungsumgehung in bestimmten Fortinet-Produkten (FortiOS und FortiProxy). Durch die Ausnutzung eines Fehlers in der WebSocket/Telnet-Verwaltungsschnittstelle kann ein Angreifer ohne gültige Anmeldedaten privilegierten CLI-Zugriff erlangen.

Betroffene Versionen

Laut der Fortinet PSIRT-Mitteilung (FG-IR-24-535) sind folgende Versionen bekanntermaßen betroffen:

• FortiOS: 7.0.0 bis 7.0.16
• FortiProxy: 7.0.0 bis 7.0.19, 7.2.0 bis 7.2.12

Voraussetzungen

• Python 3.x
• (Optional) Nmap für automatische Port-Scans
• Netzwerkzugriff auf das Zielgerät
• Ausreichende Berechtigungen auf Ihrem lokalen Rechner, um fehlende Python-Pakete zu installieren (falls erforderlich)

Verwendung

1. Klonen und Installieren

git clone https://github.com/exfil0/CVE-2024-55591-POC.git
cd CVE-2024-55591-POC

2. Skript ausführen

python3 attack.py

Beim Ausführen überprüft das Skript automatisch auf fehlende Python-Abhängigkeiten (requests, urllib3) und versucht, diese zu installieren.

3. Dem Assistenten folgen

Sie werden aufgefordert:

1. Ziel-IP/Hostname
2. Ob Sie Nmap ausführen möchten, um offene Ports zu finden
3. Falls mehrere offene Ports gefunden werden, ob Sie ALLE oder nur einen testen möchten
4. Ob Sie SSL verwenden möchten
5. Einen Befehl, der zuerst ausgeführt werden soll (Sie können aus einer vordefinierten Liste auswählen oder einen eigenen angeben)
6. (Optional) Ob Sie Post-Exploitation-Befehle ausführen möchten

Nach der Bestätigung testet das Skript die Konnektivität, prüft die Schwachstelle, führt ein WebSocket-Upgrade durch und versucht die Authentifizierungsumgehung.

Funktionen

Automatische Abhängigkeitsinstallation

Beim Start überprüft dieses Skript auf requests und urllib3. Falls diese fehlen, versucht es, sie über pip zu installieren.

Optionaler Nmap-SYN-Scan

Wenn Sie möchten, führt das Skript nmap -sS -p- --min-rate 500 <host> aus, um offene TCP-Ports zu entdecken. Anschließend wird entweder:

• Alle entdeckten Ports getestet
• Ihnen die Auswahl eines Ports ermöglicht

Multi-Port-Test

Wenn mehrere Ports als offen erkannt werden, können Sie das Skript anweisen, alle zu testen. Dies ist nützlich, wenn Fortinet-Dienste auf nicht standardmäßigen Ports lauschen.

Post-Exploitation-Befehle

Wenn die Ausnutzung erfolgreich ist, können Sie optional zusätzliche Befehle in derselben Telnet-Sitzung ausführen, wie zum Beispiel:

• diag sys top
• diag debug crashlog read
• execute shell

Sie können diese Post-Exploitation-Befehle im Skript ändern, um erweiterte Daten zu sammeln.

Versionsanalyse und Schwachstellenprüfung

Das Skript versucht, die Geräteversion aus der Ausgabe von get system status oder get system info zu extrahieren. Wenn sie einem bekannten anfälligen Bereich entspricht, werden Sie benachrichtigt.

Beispielablauf

1. Anfängliche Assistentenaufforderungen

1. Ziel-IP: z.B. 192.168.1.50
2. Nmap-Scan?: j (Ja) zum Entdecken offener Ports
3. SSL?: Normalerweise j, wenn Sie über HTTPS/443 verbinden
4. Erster Befehl: z.B. get system status
5. Post-Exploit-Befehle: j oder n

2. Nmap-Ergebnisse und Portauswahl

Wenn Nmap mehrere offene Ports findet, können Sie wählen, ob Sie alle Ports automatisch testen oder einen bestimmten auswählen.

3. Ausnutzungsablauf

• Das Skript prüft, ob /login?redir=/ng die Fortinet-Verwaltungsoberfläche zurückgibt
• Das Skript prüft, ob service-worker.js?local_access_token=ScaryBYte den Teilstring api/v2/static enthält
• Wenn beide Prüfungen bestanden sind, versucht es das WebSocket-Upgrade und sendet einen gefälschten Telnet-Anmeldungskontext
• Sobald Sie eine Telnet-ähnliche CLI haben, können Sie Befehle wie get system status ausführen

4. Post-Exploitation-Ablauf

Wenn der Post-Exploit-Modus aktiviert ist, sendet das Skript zusätzliche Debug- oder Systembefehle. Die Ausgabe wird erfasst und in Ihrer Konsole angezeigt.

Haftungsausschluss

Dieses Proof-of-Concept-Skript wird ausschließlich zu Bildungs- und Testzwecken bereitgestellt. Die unbefugte Ausnutzung von Systemen ohne ausdrückliche Genehmigung ist illegal. Stellen Sie sicher, dass Sie die entsprechenden Genehmigungen haben, bevor Sie Systeme scannen oder testen. Beachten Sie die Fortinet-Mitteilung (FG-IR-24-535) für Patch-Informationen.