Avertissement

Le code et le matériel contenus dans ce dépôt sont fournis strictement à des fins éducatives, de recherche et de tests de sécurité autorisés.

Utilisation interdite

• N'utilisez pas cet outil/code contre une infrastructure, des systèmes ou des réseaux sans autorisation écrite explicite et préalable du propriétaire.
• L'utilisation de ce matériel pour des analyses, exploitations ou activités malveillantes non autorisées est totalement illégale et strictement interdite.

Limitation de responsabilité

• Ce logiciel est fourni « tel quel », sans garantie d'aucune sorte, expresse ou implicite.
• L'auteur/les contributeurs ne pourront être tenus responsables de toute mauvaise utilisation, de tout dommage, de toute perte de données ou de toute conséquence juridique résultant de l'utilisation ou des modifications de ce code.
• En téléchargeant ou en utilisant toute partie de ce dépôt, vous acceptez d'assumer l'entière responsabilité de vos actions.

PoC CVE 2024 23113

Ceci est un script Python pour détecter la CVE 2024 23113. Cette vulnérabilité est une vulnérabilité de chaîne de format dans le service FGFM de FortiGate (protocole FortiGate vers FortiManager) généralement exécuté sur le port TCP 541. Le service FGFM de FortiGate est un lien de communication entre un pare-feu FortiGate et un outil central FortiManager. C'est un canal dédié pour gérer, mettre à jour et configurer vos pare-feu à distance depuis un tableau de bord unique. Un attaquant peut contrôler une chaîne de format via une requête spécialement conçue, ce qui pourrait conduire à une exécution de code à distance (RCE), à un déni de service (DoS) ou à d'autres impacts nuisibles.

Remerciements

Ce script a été inspiré par l'article de WatchTowr à propos de la CVE 2024 23113.
https://labs.watchtowr.com/fortinet-fortigate-cve-2024-23113-a-super-complex-vulnerability-in-a-super-secure-appliance-in-2024/

Comment utiliser

1. Remplacez la valeur de la variable hostname par l'adresse IP de votre cible.
2. Exécutez le script.
3. Analysez le résultat. La ligne directrice d'analyse ci-dessous est combinée avec l'exigence de certificat signé, consultez la section suivante pour plus de détails.
   • Si la connexion a été interrompue et que le message d'erreur n'est pas similaire à ssl.SSLError: [SSL: TLSV1_ALERT_UNKNOWN_CA] tlsv1 alert unknown ca (_ssl.c:997), alors la cible est vulnérable.
   • Si le message d'erreur est similaire à ssl.SSLError: [SSL: TLSV1_ALERT_UNKNOWN_CA] tlsv1 alert unknown ca (_ssl.c:997) et que le service ne possède pas l'état de l'extension certificate_authorities, alors la cible est vulnérable.
   • Sinon, la cible n'est pas vulnérable.
     

Remarque : Mais vous devez également faire attention au paramètre « Requires cert signed by configured CA ».

Identification de l'exigence de certificat signé pour une meilleure détection

Cela a été très bien couvert dans la section « We Observe, We Compare » de l'article de WatchTowr. Il est fortement recommandé de visiter l'article et de le lire. C'est technique mais compréhensible. Le point clé pour cette détection est l'état de l'extension certificate_authorities dans les détails de la négociation TLS. En combinant la technique de détection de l'exigence de certificat signé et mon script, vous disposerez d'une technique de détection précise à 100 % pour cette vulnérabilité.