CVE-2024-21762 est une vulnérabilité à haut risque dans Fortinet FortiOS SSL VPN, appartenant à la catégorie des écritures hors limites non autorisées. Cette vulnérabilité peut être utilisée pour une exécution de code à distance (RCE), constituant une menace pour la sécurité des réseaux d'entreprise.

FortiGate a publié une mise à jour en février 2024, corrigeant plusieurs vulnérabilités de gravité moyenne et élevée. Parmi celles-ci, cet article analyse en détail le processus d'exploitation de CVE-2024-21762, y compris comment exploiter cette vulnérabilité pour réaliser une exécution de code à distance.

Exemple de code d'exploitation (PoC)

Le code PoC suivant, fourni par assetnote, illustre les étapes de base pour exploiter cette vulnérabilité.

Analyse du code après correction

En comparant les fichiers binaires de FortiOS 7.4.2 et 7.4.3, le code corrigé se situe dans la fonction sub_18F4980. La correction se concentre principalement sur deux points :

1. Lors de l'analyse du format chunk, une validation de la longueur du chunk a été ajoutée. Si la longueur décodée dépasse 16, elle est considérée comme invalide.
2. La logique d'écriture du chunk trailer a été corrigée pour empêcher l'écriture hors limites de \r\n.

Principe d'exploitation de la vulnérabilité

1. Déclenchement de l'écriture hors limites :

   • Lors de l'analyse du chunk, si le champ de longueur est décodé à 0, la lecture du chunk trailer est déclenchée.
   • Lors de l'écriture du chunk trailer, \r\n est écrit dans la pile en fonction du champ de longueur.
   • Si le champ de longueur contient de nombreux 0, cela déclenche une écriture hors limites de \r\n près de l'adresse de retour.

2. Débordement de pile et détournement :

   • En construisant soigneusement les données chunk, il est possible de remplacer l'adresse de retour dans la pile, détournant ainsi le flux de contrôle du programme.
   • En utilisant la technique ROP, combinée à la disposition mémoire de FortiOS, une exécution de code à distance est réalisée.

Difficultés d'exploitation de la vulnérabilité

Bien qu'il soit possible de détourner le flux via une chaîne ROP, /bin/sh dans le programme principal de FortiGate n'a pas la capacité d'exécuter directement des commandes. Il est donc nécessaire de rechercher d'autres fonctions exploitables. Par exemple, en falsifiant des pointeurs de structure, on peut utiliser SSL_do_handshake pour une attaque plus poussée.

Démonstration de l'exploitation de la vulnérabilité

Même dans la configuration par défaut (mode Web désactivé), cette vulnérabilité peut toujours être exploitée.

Conclusion

CVE-2024-21762 est une vulnérabilité d'une complexité relativement élevée, dont le processus d'exploitation nécessite une compréhension approfondie de la logique du code et de la disposition mémoire de FortiOS. Par rapport aux exercices CTF traditionnels, l'exploitation de vulnérabilités réelles nécessite une analyse contextuelle et structurelle plus complexe.

Lien vers l'article original

L'auteur a fourni un article d'analyse chinois plus détaillé, consultable ici : Lien original