PoC de I+D de ScaryByte para CVE-2024-55591

Un script integral todo-en-uno de prueba de concepto basado en Python para descubrir y explotar una vulnerabilidad crítica de bypass de autenticación (CVE-2024-55591) en ciertos dispositivos Fortinet. Este script:

1. Instala las dependencias faltantes automáticamente
2. Opcionalmente escanea un host objetivo en busca de puertos abiertos usando nmap
3. Realiza comprobaciones previas para asegurarse de que el servicio sea un dispositivo Fortinet y sea vulnerable
4. Explota la interfaz WebSocket para secuestrar una sesión CLI tipo Telnet
5. Ejecuta un comando inicial o múltiples comandos tras la explotación
6. Comprueba la versión del dispositivo contra los rangos vulnerables conocidos de Fortinet PSIRT FG-IR-24-535

Tabla de contenidos

• Resumen de la vulnerabilidad
• Versiones afectadas
• Requisitos previos
• Uso
  • 1. Clonar e instalar
  • 2. Ejecutar el script
  • 3. Seguir el asistente
• Características
  • Instalación automática de dependencias
  • Escaneo SYN opcional con Nmap
  • Pruebas multi-puerto
  • Comandos de post-explotación
  • Análisis de versión y comprobación de vulnerabilidad
• Ejemplo de recorrido
  • 1. Mensajes iniciales del asistente
  • 2. Resultados de Nmap y selección de puerto
  • 3. Flujo de explotación
  • 4. Flujo de post-explotación
• Aviso legal

Resumen de la vulnerabilidad

CVE-2024-55591 es un bypass crítico de autenticación en ciertos productos Fortinet (FortiOS y FortiProxy). Al explotar una falla en la interfaz de administración WebSocket/Telnet, un atacante puede obtener acceso CLI privilegiado sin credenciales válidas.

Versiones afectadas

Según el Aviso del PSIRT de Fortinet (FG-IR-24-535), se sabe que las siguientes versiones están afectadas:

• FortiOS: de 7.0.0 a 7.0.16
• FortiProxy: de 7.0.0 a 7.0.19, de 7.2.0 a 7.2.12

Requisitos previos

• Python 3.x
• (Opcional) Nmap para el escaneo automático de puertos
• Acceso de red al dispositivo objetivo
• Privilegios suficientes en tu máquina local para instalar paquetes de Python faltantes (si es necesario)

Uso

1. Clonar e instalar

git clone https://github.com/exfil0/CVE-2024-55591-POC.git
cd CVE-2024-55591-POC

2. Ejecutar el script

python3 attack.py

Al ejecutarse, el script automáticamente comprueba si faltan dependencias de Python (requests, urllib3) e intenta instalarlas.

3. Seguir el asistente

Se te solicitará lo siguiente:

1. IP/Hostname objetivo
2. Si deseas ejecutar Nmap para encontrar puertos abiertos
3. Si se encuentran varios puertos abiertos, si deseas probar TODOS o solo uno
4. Si deseas usar SSL
5. Un comando para ejecutar inicialmente (puedes seleccionar de una lista predefinida o proporcionar el tuyo propio)
6. (Opcional) Si deseas ejecutar comandos de post-explotación

Una vez que confirmes, el script prueba la conectividad, comprueba la vulnerabilidad, actualiza la conexión a WebSocket e intenta el bypass de autenticación.

Características

Instalación automática de dependencias

Al iniciar, este script comprueba requests y urllib3. Si faltan, intenta instalarlos mediante pip.

Escaneo SYN opcional con Nmap

Si lo eliges, el script ejecuta nmap -sS -p- --min-rate 500 <host> para descubrir puertos TCP abiertos y, luego, o bien:

• Prueba todos los puertos descubiertos
• Te permite elegir uno

Pruebas multi-puerto

Si se descubren varios puertos abiertos, puedes indicar al script que los pruebe todos. Esto es útil si los servicios Fortinet están escuchando en puertos no estándar.

Comandos de post-explotación

Si el exploit tiene éxito, opcionalmente puedes ejecutar comandos adicionales en la misma sesión Telnet, como:

• diag sys top
• diag debug crashlog read
• execute shell

Puedes modificar estos comandos de post-explotación en el script para recopilar datos más avanzados.

Análisis de versión y comprobación de vulnerabilidad

El script intenta analizar la versión del dispositivo a partir de la salida de get system status o get system info. Si coincide con un rango vulnerable conocido, te lo notifica.

Ejemplo de recorrido

1. Mensajes iniciales del asistente

1. IP objetivo: p. ej., 192.168.1.50
2. ¿Escaneo con Nmap?: y (Sí) para descubrir puertos abiertos
3. ¿SSL?: Generalmente y si te conectas mediante HTTPS/443
4. Comando inicial: p. ej., get system status
5. Comandos de post-explotación: y o n

2. Resultados de Nmap y selección de puerto

Si Nmap encuentra varios puertos abiertos, puedes elegir probar todos los puertos automáticamente o seleccionar uno específico.

3. Flujo de explotación

• El script comprueba si /login?redir=/ng devuelve la interfaz de administración de Fortinet
• El script comprueba si service-worker.js?local_access_token=ScaryBYte contiene la subcadena api/v2/static
• Si ambas comprobaciones pasan, intenta la actualización a WebSocket y envía un contexto de inicio de sesión Telnet falso
• Una vez que tienes una CLI tipo Telnet, puedes ejecutar comandos como get system status

4. Flujo de post-explotación

Si el modo de post-explotación está habilitado, el script envía comandos adicionales de depuración o del sistema. La salida se recopila y se muestra en tu consola.

Aviso legal

Este script de prueba de concepto se proporciona únicamente con fines educativos y de prueba. La explotación no autorizada de sistemas sin permiso explícito es ilegal. Asegúrate siempre de contar con las aprobaciones adecuadas antes de escanear o probar cualquier sistema, y consulta el Aviso de Fortinet (FG-IR-24-535) para obtener información sobre parches.