fgt-cve-2023-27997-exploit

FortiGate SSL‑VPN CVE‑2023‑27997 Exploit-PoC-Skript mit ROP Chain

Inhaltsverzeichnis

Beschreibung
Betroffene Versionen
Installation
Verwendung
Beispielausgabe
Technische Details
Warnungen
Quellen

Beschreibung

fgt-cve-2023-27997-exploit.py ist ein Proof-of-Concept (PoC)-Exploit-Skript, das für die kritische Sicherheitslücke CVE‑2023‑27997 auf Fortinet-FortiGate-Geräten geschrieben wurde.
Die Schwachstelle beruht auf einem heap-basierten Pufferüberlauf, der eine Remote-Codeausführung (RCE) über die FortiOS-SSL-VPN-Oberfläche ohne Authentifizierung ermöglicht.

Arbeitsschritte des Skripts:

Es ruft den Salt-Wert vom Zielgerät ab.
Es erzeugt eine spezielle ROP (Return‑Oriented Programming)-Kette.
Es löst den Pufferüberlauf aus, indem es eine manipulierte GET-Anfrage an den Endpoint /remote/hostcheck_validate sendet.
Nach dem Überlauf wird die vorbereitete ROP-Kette ausgeführt, um einen Remote-Befehl auszuführen.

Achtung: Das Skript sollte nur in autorisierten Test- oder Laborumgebungen verwendet werden.

Betroffene Versionen

Produkt	Versionen
FortiOS	7.2.0 – 7.2.5 7.0.0 – 7.0.11 6.4.0 – 6.4.12 6.2.0 – 6.2.14 6.0.0 – 6.0.16
FortiProxy	Zugehörige Versionen

Installation

Bereiten Sie eine Python-3.7+-Umgebung vor.
Installieren Sie die erforderlichen Abhängigkeiten:

pip3 install -r requirements.txt

requirements.txt Inhalt:
requests
urllib3

Verwendung

python3 fgt-cve-2023-27997-exploit.py <TARGET_IP> <TARGET_PORT>

Beispiel:

python3 fgt-cve-2023-27997-exploit.py 192.168.1.200 10443

Argument	Beschreibung
`<TARGET_IP>`	IP-Adresse des Ziel-FortiGate
`<TARGET_PORT>`	SSL‑VPN-Port (Standard: 443 oder 10443)

Beispielausgabe

[*] FortiOS 7.0.5 CVE-2023-27997 ROP Chain Ping Exploit Başlatılıyor...
[+] Salt alındı: 749a2b77
[+] Enc parametresi oluşturuldu (1024 karakter)
[!] 500 Internal Server Error - Bellek taşması veya crash olabilir!

Technische Details

Zum Ansehen klicken

Schwachstellenablauf

/remote/info   --> salt değeri alınır
/remote/hostcheck_validate?enc=<payload> --> buffer overflow tetiklenir

Der Parameter enc wird mit dem XOR-Keystream verschlüsselt, der aus der Kombination salt + seed erzeugt wird.
Ein Fehler in der Längenprüfung ermöglicht den Überlauf.
Nach dem Überlauf greift die ROP-Chain.

ROP-Kette

Warnungen

Das Skript darf nur in autorisierten Umgebungen ausgeführt werden.
Unbefugte Nutzung verstößt gegen das Gesetz und das Zielgerät kann abstürzen.
FortiOS-7.0.5-Versionen verwenden TLS 1.0; im Skript wurde die passende TLS-Konfiguration vorgenommen.

Quellen

Lexfo Security Blog – XORtigate: CVE‑2023‑27997
Bishop Fox – Building an Exploit for CVE‑2023‑27997
Fortinet PSIRT Advisory FG‑IR‑23‑097

1	`pop rdi ; ret`	Lädt die Befehlsadresse in `RDI`
2	`system@plt`	Führt den Befehl aus
–	`0xdeadbeefdeadbeef`	Platzhalter; die echte Adresse muss im Labor ermittelt werden

fgt-cve-2023-27997-exploit

Beliebteste

Heap-Spray