CVE-2024-55591 के लिए ScaryByte R&D PoC

कुछ Fortinet डिवाइसों में एक गंभीर प्रमाणीकरण बाईपास भेद्यता (CVE-2024-55591) की खोज और शोषण करने के लिए एक व्यापक ऑल-इन-वन Python-आधारित Proof of Concept स्क्रिप्ट। यह स्क्रिप्ट:

1. स्वचालित रूप से गुम निर्भरताओं को इंस्टॉल करती है
2. वैकल्पिक रूप से स्कैन करती है nmap का उपयोग करके लक्ष्य होस्ट को ओपन पोर्ट्स के लिए
3. यह सुनिश्चित करने के लिए कि सेवा Fortinet डिवाइस है और भेद्य है, प्री-फ्लाइट जाँच करती है
4. Telnet-जैसे CLI सत्र को हाईजैक करने के लिए WebSocket इंटरफ़ेस का शोषण करती है
5. शोषण के बाद एक प्रारंभिक या कई कमांड चलाती है
6. Fortinet PSIRT FG-IR-24-535 से ज्ञात भेद्य रेंज के विरुद्ध डिवाइस वर्ज़न की जाँच करती है

विषय-सूची

• भेद्यता सारांश
• प्रभावित वर्ज़न
• पूर्व-आवश्यकताएँ
• उपयोग
  • 1. क्लोन करें और इंस्टॉल करें
  • 2. स्क्रिप्ट चलाएँ
  • 3. विज़ार्ड का पालन करें
• विशेषताएँ
  • स्वचालित निर्भरता इंस्टॉलेशन
  • वैकल्पिक Nmap SYN स्कैनिंग
  • मल्टी-पोर्ट परीक्षण
  • पोस्ट-एक्सप्लॉयटेशन कमांड
  • वर्ज़न पार्सिंग और भेद्यता जाँच
• उदाहरण वॉकथ्रू
  • 1. प्रारंभिक विज़ार्ड प्रॉम्प्ट
  • 2. Nmap परिणाम और पोर्ट चयन
  • 3. शोषण प्रवाह
  • 4. पोस्ट-एक्सप्लॉयटेशन प्रवाह
• अस्वीकरण

भेद्यता सारांश

CVE-2024-55591 कुछ Fortinet उत्पादों (FortiOS और FortiProxy) में एक गंभीर प्रमाणीकरण बाईपास है। WebSocket/Telnet प्रबंधन इंटरफ़ेस में एक खामी का शोषण करके, एक हमलावर वैध क्रेडेंशियल्स के बिना विशेषाधिकार प्राप्त CLI एक्सेस प्राप्त कर सकता है।

प्रभावित वर्ज़न

Fortinet PSIRT एडवाइज़री (FG-IR-24-535) के अनुसार, निम्नलिखित वर्ज़न प्रभावित होने के लिए जाने जाते हैं:

• FortiOS: 7.0.0 से 7.0.16
• FortiProxy: 7.0.0 से 7.0.19, 7.2.0 से 7.2.12

पूर्व-आवश्यकताएँ

• Python 3.x
• (वैकल्पिक) स्वचालित पोर्ट स्कैनिंग के लिए Nmap
• लक्ष्य डिवाइस तक नेटवर्क एक्सेस
• गुम Python पैकेज इंस्टॉल करने के लिए आपकी स्थानीय मशीन पर पर्याप्त विशेषाधिकार (यदि आवश्यक हो)

उपयोग

1. क्लोन करें और इंस्टॉल करें

git clone https://github.com/exfil0/CVE-2024-55591-POC.git
cd CVE-2024-55591-POC

2. स्क्रिप्ट चलाएँ

python3 attack.py

निष्पादित होने पर, स्क्रिप्ट गुम Python निर्भरताओं (requests, urllib3) की स्वचालित रूप से जाँच करती है और उन्हें इंस्टॉल करने का प्रयास करती है।

3. विज़ार्ड का पालन करें

आपसे निम्नलिखित के लिए प्रॉम्प्ट किया जाएगा:

1. लक्ष्य IP/होस्टनाम
2. ओपन पोर्ट्स खोजने के लिए Nmap चलाना है या नहीं
3. यदि कई ओपन पोर्ट्स मिलते हैं, तो सभी का परीक्षण करना है या केवल एक का
4. SSL का उपयोग करना है या नहीं
5. प्रारंभ में चलाने के लिए एक कमांड (आप पूर्व-परिभाषित सूची से चुन सकते हैं या अपना स्वयं का कमांड दे सकते हैं)
6. (वैकल्पिक) पोस्ट-एक्सप्लॉयटेशन कमांड चलाने हैं या नहीं

एक बार पुष्टि करने पर, स्क्रिप्ट कनेक्टिविटी का परीक्षण करती है, भेद्यता की जाँच करती है, कनेक्शन को WebSocket में अपग्रेड करती है, और प्रमाणीकरण बाईपास का प्रयास करती है।

विशेषताएँ

स्वचालित निर्भरता इंस्टॉलेशन

स्टार्टअप पर, यह स्क्रिप्ट requests और urllib3 की जाँच करती है। यदि गुम हैं, तो यह उन्हें pip के माध्यम से इंस्टॉल करने का प्रयास करती है।

वैकल्पिक Nmap SYN स्कैनिंग

यदि आप चुनते हैं, तो स्क्रिप्ट ओपन TCP पोर्ट्स खोजने के लिए nmap -sS -p- --min-rate 500 <host> चलाती है, फिर या तो:

• सभी खोजे गए पोर्ट्स का प्रयास करती है
• आपको एक चुनने देती है

मल्टी-पोर्ट परीक्षण

यदि कई पोर्ट्स खुले पाए जाते हैं, तो आप स्क्रिप्ट को उन सभी का परीक्षण करने का निर्देश दे सकते हैं। यह तब उपयोगी है जब Fortinet सेवाएँ गैर-मानक पोर्ट्स पर सुन रही हों।

पोस्ट-एक्सप्लॉयटेशन कमांड

यदि शोषण सफल होता है, तो आप वैकल्पिक रूप से उसी Telnet सत्र में अतिरिक्त कमांड चला सकते हैं, जैसे:

• diag sys top
• diag debug crashlog read
• execute shell

आप अधिक उन्नत डेटा एकत्र करने के लिए स्क्रिप्ट में इन पोस्ट-एक्सप्लॉयटेशन कमांड को संशोधित कर सकते हैं।

वर्ज़न पार्सिंग और भेद्यता जाँच

स्क्रिप्ट get system status या get system info के आउटपुट से डिवाइस वर्ज़न को पार्स करने का प्रयास करती है। यदि यह किसी ज्ञात भेद्य रेंज से मेल खाता है, तो यह आपको सूचित करती है।

उदाहरण वॉकथ्रू

1. प्रारंभिक विज़ार्ड प्रॉम्प्ट

1. लक्ष्य IP: उदा., 192.168.1.50
2. Nmap स्कैन?: ओपन पोर्ट्स खोजने के लिए y (हाँ)
3. SSL?: आमतौर पर HTTPS/443 के माध्यम से कनेक्ट करते समय y
4. प्रारंभिक कमांड: उदा., get system status
5. पोस्ट-एक्सप्लॉइट कमांड: y या n

2. Nmap परिणाम और पोर्ट चयन

यदि Nmap को कई ओपन पोर्ट्स मिलते हैं, तो आप स्वचालित रूप से सभी पोर्ट्स का परीक्षण करना चुन सकते हैं या एक विशिष्ट पोर्ट चुन सकते हैं।

3. शोषण प्रवाह

• स्क्रिप्ट जाँच करती है कि क्या /login?redir=/ng Fortinet का प्रबंधन इंटरफ़ेस लौटाता है
• स्क्रिप्ट जाँच करती है कि क्या service-worker.js?local_access_token=ScaryBYte में सबस्ट्रिंग api/v2/static मौजूद है
• यदि दोनों जाँचें पास हो जाती हैं, तो यह WebSocket अपग्रेड का प्रयास करती है और एक नकली Telnet लॉगिन संदर्भ भेजती है
• एक बार जब आपके पास Telnet-जैसा CLI हो, तो आप get system status जैसे कमांड चला सकते हैं

4. पोस्ट-एक्सप्लॉयटेशन प्रवाह

यदि पोस्ट-एक्सप्लॉइट मोड सक्षम है, तो स्क्रिप्ट अतिरिक्त डीबग या सिस्टम कमांड भेजती है। आउटपुट एकत्र किया जाता है और आपके कंसोल में प्रदर्शित होता है।

अस्वीकरण

यह Proof of Concept स्क्रिप्ट केवल शैक्षिक और परीक्षण उद्देश्यों के लिए प्रदान की गई है। स्पष्ट अनुमति के बिना सिस्टम का अनधिकृत शोषण अवैध है। किसी भी सिस्टम को स्कैन या परीक्षण करने से पहले हमेशा सुनिश्चित करें कि आपके पास उचित अनुमोदन हैं, और पैच जानकारी के लिए Fortinet की एडवाइज़री (FG-IR-24-535) देखें।