CVE-2024-23113

Das Skript wurde entwickelt, um CVE-2024-23113 zu erkennen, eine Format-String-Schwachstelle im FGFM-Dienst von FortiGate (FortiGate-zu-FortiManager-Protokoll), der auf TCP-Port 541 läuft. Die Schwachstelle tritt auf, weil ein Angreifer einen Format-String kontrollieren kann, was zu Remote-Code-Ausführung (RCE) oder anderen unbeabsichtigten Verhaltensweisen führen kann. Der FGFM-Dienst ermöglicht die Kommunikation zwischen FortiGate-Geräten und FortiManager zur Konfigurationsverwaltung, und eine ungepatchte Version behandelt Eingaben nicht ordnungsgemäß, was sie anfällig für einen Format-String-Exploit macht.

Funktionsweise des Skripts

1. Netzwerkverbindungsaufbau:

   • Das Skript baut zunächst eine SSL/TLS-Verbindung zum Ziel auf Port 541 auf.
   • Es verwendet das ssl.SSLContext-Objekt mit deaktivierter Zertifikatsprüfung, um die Verbindung herzustellen, da das Gerät möglicherweise selbstsignierte Zertifikate besitzt.

2. Payload-Konstruktion:

   • Nach der Verbindung erstellt das Skript eine schädliche Payload mittels eines Format-String-Exploits (authip=%n). Die %n-Direktive weist das System an, die Anzahl der bisher ausgegebenen Bytes in eine Variable zu schreiben, was möglicherweise zu Speicherkorruption führen kann.
   • Die erstellte Payload wird über die bestehende Verbindung an das Ziel gesendet.

3. Erkennungslogik:

   • Das Skript überprüft dann das Verhalten des Ziels als Reaktion auf die Payload.
   • Wenn die Verbindung abrupt beendet wird und ein SSL-Alarm ausgelöst wird, deutet dies darauf hin, dass das Ziel verwundbar ist, da die Schutzmechanismen für Format-String-Schwachstellen (z. B. _FORTIFY_SOURCE in glibc) ausgelöst wurden.
   • Wenn die Verbindung offen bleibt, ist das Ziel wahrscheinlich gepatcht.

Verwendungshinweise

1. Skript ausführen: Führen Sie das Skript mit Python 3 aus, indem Sie Folgendes eingeben:

   root@kitploit:~

   python check_vulnerability.py
   

2. Hostname/IP eingeben:

   • Sie werden aufgefordert, einen Hostnamen oder eine IP-Adresse einzugeben, um zu überprüfen, ob das System verwundbar ist.
   • Wenn Sie aufhören möchten, geben Sie exit ein.

3. Ausgabe:

   • Wenn das Ziel verwundbar ist, gibt das Skript Folgendes aus:

     root@kitploit:~

     [!] Warnung: <hostname> ist verwundbar!
     

   • Wenn das Ziel gepatcht ist, wird Folgendes ausgegeben:

     root@kitploit:~

     [+] <hostname> scheint gepatcht zu sein.
     

Voraussetzungen

• Python 3 muss auf dem Rechner installiert sein, der das Skript ausführt.
• Netzwerkzugriff auf das Zielgerät, wobei Port 541 offen sein muss.
• Der FGFM-Dienst muss auf dem Zielgerät ausgeführt werden.