Haftungsausschluss

Der in diesem Repository enthaltene Code und die Materialien werden ausschließlich für Bildungs-, Forschungs- und autorisierte Sicherheitstestzwecke bereitgestellt.

Verbotene Nutzung

• Verwenden Sie dieses Tool/diesen Code nicht gegen Infrastruktur, Systeme oder Netzwerke ohne ausdrückliche, vorherige schriftliche Genehmigung des Eigentümers.
• Die Nutzung dieses Materials für unbefugtes Scannen, Ausnutzen oder böswillige Aktivitäten ist ausdrücklich illegal und strengstens verboten.

Haftungsbeschränkung

• Diese Software wird „wie besehen“ ohne jegliche ausdrückliche oder stillschweigende Gewährleistung bereitgestellt.
• Der Autor/die Mitwirkenden haften nicht für Missbrauch, Schäden, Datenverlust oder rechtliche Konsequenzen, die sich aus der Nutzung oder Modifikation dieses Codes ergeben.
• Durch das Herunterladen oder die Nutzung eines Teils dieses Repositorys erklären Sie sich damit einverstanden, die volle Verantwortung für Ihre Handlungen zu übernehmen.

PoC CVE 2024 23113

Dies ist ein Python-Skript zur Erkennung von CVE 2024 23113. Diese Schwachstelle ist eine Format-String-Schwachstelle im FortiGate-FGFM-Dienst (FortiGate-zu-FortiManager-Protokoll), der üblicherweise auf TCP-Port 541 läuft. Der FortiGate-FGFM-Dienst ist eine Kommunikationsverbindung zwischen einer FortiGate-Firewall und einem zentralen FortiManager-Tool. Es handelt sich um einen dedizierten Kanal zur Fernverwaltung, Aktualisierung und Konfiguration Ihrer Firewalls über ein einziges Dashboard. Ein Angreifer kann über eine manipulierte Anfrage eine Format-String kontrollieren, was zu Remote Code Execution (RCE), Denial of Service (DoS) oder anderen schädlichen Auswirkungen führen kann.

Danksagung

Dieses Skript wurde durch den Artikel von WatchTowr über die CVE 2024 23113 inspiriert.
https://labs.watchtowr.com/fortinet-fortigate-cve-2024-23113-a-super-complex-vulnerability-in-a-super-secure-appliance-in-2024/

Verwendung

1. Ersetzen Sie den Wert der Variablen hostname durch die IP-Adresse Ihres Ziels.
2. Führen Sie das Skript aus.
3. Analysieren Sie das Ergebnis. Die folgende Analyse-Richtlinie ist mit der Anforderung für signierte Zertifikate kombiniert; weitere Details finden Sie im nächsten Abschnitt.
   • Wenn die Verbindung abgebrochen wurde und die Fehlermeldung nicht ähnlich wie ssl.SSLError: [SSL: TLSV1_ALERT_UNKNOWN_CA] tlsv1 alert unknown ca (_ssl.c:997) ist, ist das Ziel verwundbar.
   • Wenn die Fehlermeldung ähnlich wie ssl.SSLError: [SSL: TLSV1_ALERT_UNKNOWN_CA] tlsv1 alert unknown ca (_ssl.c:997) ist und der Dienst keinen Status der Erweiterung certificate_authorities aufweist, ist das Ziel verwundbar.
   • Andernfalls ist das Ziel nicht verwundbar.
     

Hinweis: Sie müssen jedoch auch auf die Einstellung "Requires cert signed by configured CA" achten.

Identifizierung der Anforderung signierter Zertifikate für eine bessere Erkennung

Dies wurde im Abschnitt „We Observe, We Compare“ des Artikels von WatchTowr sehr gut behandelt. Es wird dringend empfohlen, den Artikel zu besuchen und zu lesen. Er ist technisch, aber verständlich. Der wichtigste Punkt für diese Erkennung ist der Status der Erweiterung certificate_authorities in den Details der TLS-Aushandlung. Kombiniert man die Technik zur Erkennung der Anforderung signierter Zertifikate mit meinem Skript, erhält man eine 100 % genaue Erkennungstechnik für diese Schwachstelle.