Aviso legal

El código y los materiales contenidos en este repositorio se proporcionan estrictamente para fines educativos, de investigación y de pruebas de seguridad autorizadas.

Uso prohibido

• No utilice esta herramienta/código contra cualquier infraestructura, sistema o red sin el permiso explícito y previo por escrito del propietario.
• Utilizar este material para escaneos no autorizados, explotación o actividades maliciosas es totalmente ilegal y está estrictamente prohibido.

Limitación de responsabilidad

• Este software se proporciona "tal cual", sin garantía de ningún tipo, expresa o implícita.
• El autor/colaboradores no serán considerados responsables por cualquier uso indebido, daño, pérdida de datos o consecuencias legales derivadas del uso o modificaciones de este código.
• Al descargar o utilizar cualquier parte de este repositorio, usted acepta asumir toda la responsabilidad por sus acciones.

PoC CVE 2024 23113

Este es un script de Python para detectar el CVE 2024 23113. Esta vulnerabilidad es una vulnerabilidad de cadena de formato en el servicio FGFM de FortiGate (protocolo FortiGate a FortiManager) que normalmente se ejecuta en el puerto TCP 541. El servicio FGFM de FortiGate es un enlace de comunicación entre un firewall FortiGate y una herramienta central FortiManager. Es un canal dedicado para administrar, actualizar y configurar remotamente sus firewalls desde un único panel. Un atacante puede controlar una cadena de formato mediante una solicitud manipulada, lo que podría conducir a ejecución remota de código (RCE), denegación de servicio (DoS) u otros impactos dañinos.

Agradecimientos

Este script se inspiró en el artículo de WatchTowr sobre el CVE 2024 23113.
https://labs.watchtowr.com/fortinet-fortigate-cve-2024-23113-a-super-complex-vulnerability-in-a-super-secure-appliance-in-2024/

Cómo usar

1. Reemplace el valor de la variable hostname con la dirección IP de su objetivo.
2. Ejecute el script.
3. Analice el resultado. La siguiente guía de análisis se combina con el requisito de certificado firmado; consulte la siguiente sección para más detalles.
   • Si la conexión se abortó y el mensaje de error no es similar a ssl.SSLError: [SSL: TLSV1_ALERT_UNKNOWN_CA] tlsv1 alert unknown ca (_ssl.c:997), entonces el objetivo es vulnerable.
   • Si el mensaje de error es similar a ssl.SSLError: [SSL: TLSV1_ALERT_UNKNOWN_CA] tlsv1 alert unknown ca (_ssl.c:997) y el servicio no tiene el estado de extensión certificate_authorities, entonces el objetivo es vulnerable.
   • De lo contrario, el objetivo no es vulnerable.
     

Nota: Pero también debe tener en cuenta el ajuste "Requiere certificado firmado por una CA configurada".

Identificación del requisito de certificado firmado para una mejor detección

Esto se cubrió muy bien en la sección "We Observe, We Compare" del artículo de WatchTowr. Se recomienda encarecidamente visitar el artículo y leerlo. Es técnico pero comprensible. El punto clave para esta detección es el estado de la extensión certificate_authorities en los detalles de la negociación TLS. Combinando la técnica para la detección del requisito de certificado firmado con mi script, obtendrá una técnica de detección 100% precisa para esta vulnerabilidad.