ScaryByte R&D PoC pour CVE-2024-55591

Un script tout-en-un complet en Python pour découvrir et exploiter une vulnérabilité critique de contournement d'authentification (CVE-2024-55591) dans certains appareils Fortinet. Ce script :

1. Installe automatiquement les dépendances manquantes
2. Scanne éventuellement un hôte cible pour les ports ouverts via nmap
3. Effectue des vérifications préalables pour s'assurer que le service est un appareil Fortinet et qu'il est vulnérable
4. Exploite l'interface WebSocket pour détourner une session CLI de type Telnet
5. Exécute une ou plusieurs commandes initiales après l'exploitation
6. Vérifie la version de l'appareil par rapport aux plages vulnérables connues depuis Fortinet PSIRT FG-IR-24-535

Table des matières

• Résumé de la vulnérabilité
• Versions affectées
• Prérequis
• Utilisation
  • 1. Cloner et installer
  • 2. Exécuter le script
  • 3. Suivre l'assistant
• Fonctionnalités
  • Installation automatique des dépendances
  • Scan SYN Nmap optionnel
  • Test multi-port
  • Commandes post-exploitation
  • Analyse de version et vérification de vulnérabilité
• Exemple pas à pas
  • 1. Invites initiales de l'assistant
  • 2. Résultats Nmap et sélection du port
  • 3. Déroulement de l'exploitation
  • 4. Déroulement post-exploitation
• Avertissement

Résumé de la vulnérabilité

CVE-2024-55591 est un contournement d'authentification critique dans certains produits Fortinet (FortiOS et FortiProxy). En exploitant une faille dans l'interface de gestion WebSocket/Telnet, un attaquant peut obtenir un accès CLI privilégié sans identifiants valides.

Versions affectées

Selon l'avis de sécurité Fortinet PSIRT (FG-IR-24-535), les versions suivantes sont connues pour être affectées :

• FortiOS : 7.0.0 à 7.0.16
• FortiProxy : 7.0.0 à 7.0.19, 7.2.0 à 7.2.12

Prérequis

• Python 3.x
• (Optionnel) Nmap pour le scan de ports automatique
• Accès réseau à l'appareil cible
• Privilèges suffisants sur la machine locale pour installer les paquets Python manquants (si nécessaire)

Utilisation

1. Cloner et installer

git clone https://github.com/exfil0/CVE-2024-55591-POC.git
cd CVE-2024-55591-POC

2. Exécuter le script

python3 attack.py

Lors de l'exécution, le script vérifie automatiquement les dépendances Python manquantes (requests, urllib3) et tente de les installer.

3. Suivre l'assistant

Il vous sera demandé :

1. L'IP/le nom d'hôte cible
2. Si vous souhaitez exécuter Nmap pour trouver les ports ouverts
3. Si plusieurs ports ouverts sont trouvés, tester TOUS ou un seul
4. Utiliser SSL ou non
5. Une commande à exécuter initialement (vous pouvez choisir parmi une liste prédéfinie ou fournir la vôtre)
6. (Optionnel) Exécuter des commandes post-exploitation

Une fois confirmé, le script teste la connectivité, vérifie la vulnérabilité, met à niveau la connexion vers WebSocket et tente le contournement d'authentification.

Fonctionnalités

Installation automatique des dépendances

Au démarrage, ce script vérifie la présence de requests et urllib3. S'ils sont manquants, il tente de les installer via pip.

Scan SYN Nmap optionnel

Si vous le souhaitez, le script exécute nmap -sS -p- --min-rate 500 <hôte> pour découvrir les ports TCP ouverts, puis :

• Tente tous les ports découverts
• Vous laisse en choisir un

Test multi-port

Si plusieurs ports sont découverts ouverts, vous pouvez demander au script de les tester tous. Ceci est utile si les services Fortinet écoutent sur des ports non standards.

Commandes post-exploitation

Si l'exploitation réussit, vous pouvez éventuellement exécuter des commandes supplémentaires dans la même session Telnet, par exemple :

• diag sys top
• diag debug crashlog read
• execute shell

Vous pouvez modifier ces commandes post-exploitation dans le script pour récolter des données plus avancées.

Analyse de version et vérification de vulnérabilité

Le script tente d'analyser la version de l'appareil à partir de la sortie de get system status ou get system info. Si elle correspond à une plage vulnérable connue, il vous en informe.

Exemple pas à pas

1. Invites initiales de l'assistant

1. IP cible : par ex. 192.168.1.50
2. Scan Nmap ? : y (Oui) pour découvrir les ports ouverts
3. SSL ? : Généralement y si connexion via HTTPS/443
4. Commande initiale : par ex. get system status
5. Commandes post-exploitation : y ou n

2. Résultats Nmap et sélection du port

Si Nmap trouve plusieurs ports ouverts, vous pouvez choisir de tester tous les ports automatiquement ou d'en sélectionner un spécifique.

3. Déroulement de l'exploitation

• Le script vérifie si /login?redir=/ng renvoie l'interface de gestion Fortinet
• Le script vérifie si service-worker.js?local_access_token=ScaryBYte contient la sous-chaîne api/v2/static
• Si les deux vérifications réussissent, il tente la mise à niveau WebSocket et envoie un contexte de connexion Telnet factice
• Une fois que vous disposez d'une interface CLI de type Telnet, vous pouvez exécuter des commandes comme get system status

4. Déroulement post-exploitation

Si le mode post-exploitation est activé, le script envoie des commandes supplémentaires de débogage ou système. La sortie est collectée et affichée dans votre console.

Avertissement

Ce script de preuve de concept est fourni uniquement à des fins éducatives et de test. L'exploitation non autorisée de systèmes sans permission explicite est illégale. Assurez-vous toujours d'avoir les approbations appropriées avant d'analyser ou de tester tout système, et référez-vous à l'avis de sécurité Fortinet (FG-IR-24-535) pour les informations sur les correctifs.