विवरण

CVE-2025-62676 / EUVD-2025-206993 के लिए स्थानीय विशेषाधिकार वृद्धि PoC शोषण जो विंडोज पर चलने वाले FortiClient VPN को लक्षित करता है। एक सामान्य उपयोगकर्ता संदर्भ से एक मनमाना XML फ़ाइल लेखन के माध्यम से SYSTEM के संदर्भ में एक पेलोड निष्पादित करता है। PoC का परीक्षण विंडोज 11 प्रो पर FortiClient संस्करण 7.4.0 के विरुद्ध किया गया है। विक्रेता के अनुसार निम्नलिखित संस्करण असुरक्षित हैं:

• 7.4.0 - 7.4.4
• 7.2.0 - 7.2.12
• 7.0 (सभी संस्करण)

यह भेद्यता Trend Micro Zero Day Initiative के माध्यम से रिपोर्ट की गई थी: https://www.zerodayinitiative.com/advisories/ZDI-26-115/

Fortinet से आधिकारिक सलाह: https://fortiguard.fortinet.com/psirt/FG-IR-25-661

निर्भरताएँ

• OffWinLib का उपयोग Git सबमॉड्यूल के रूप में किया जाता है।
• Windows Implementation Libraries (WIL) Microsoft.Windows.ImplementationLibrary NuGet पैकेज के माध्यम से। यदि यह निर्माण पर स्वचालित रूप से स्थापित नहीं होता है, तो nuget restore चलाएँ।

निर्माण कैसे करें

1. git clone --recursive के साथ रिपॉजिटरी को क्लोन करें।
2. डिफ़ॉल्ट पेलोड cmd /c whoami > C:\whoami.txt चलाता है। इसे बदलने के लिए, ExecDLL प्रोजेक्ट में dllmail.cpp को संशोधित करें।
3. FortiLPE समाधान बनाएँ।

उपयोग कैसे करें

1. `FortiLPE.exe´ चलाएँ।
2. यदि पेलोड निष्पादित नहीं होता है, तो संभवतः PoC चलाने से पहले अंतिम रीबूट के बाद से CloudExperienceHostBroker.exe निष्पादित हो चुका है। मशीन को रीबूट करें और CreateObjectTask कार्य को मैन्युअल रूप से प्रारंभ करें (Start-ScheduledTask -TaskPath \Microsoft\Windows\CloudExperienceHost -TaskName CreateObjectTask)। अधिक जानकारी के लिए तकनीकी विवरण देखें।

तकनीकी विवरण

FortiClient एक नामित पाइप FC_{F18F86FD-7503-4564-80CF-B6B199519837} बनाता है जिससे सामान्य उपयोगकर्ताओं को संवाद करने की अनुमति है। संचार FortiClient प्रोग्राम फ़ोल्डर (C:\Program Files\Fortinet\FortiClient) से चलने वाली प्रक्रियाओं तक सीमित है, लेकिन इसे चल रही FortiTray.exe प्रक्रिया में कोड इंजेक्ट करके बायपास किया जा सकता है, जो प्रोग्राम फ़ोल्डर से चल रही है। इस नामित पाइप के माध्यम से, FCConfig.exe का एक उदाहरण SYSTEM के रूप में चलाना संभव है, जिसमें उपयोगकर्ता-नियंत्रित तर्क हों।

एक अपरिचित ऑपरेशन (-o A) निर्दिष्ट करके, FCConfig.exe एक लक्ष्य फ़ाइल (-f FILE) पढ़ेगा और फिर इसे उसी स्थान पर वापस लिखेगा (यह स्पष्ट नहीं है कि ऐसा क्यों होता है)। लक्ष्य को एक जंक्शन/सिमलिंक पर सेट करके जो एक विशिष्ट फ़ाइल को इंगित करता है और फ़ाइल पर एक oplock सेट करके, प्रक्रिया को सिमलिंक का अनुसरण करना, फ़ाइल पढ़ना और oplock को ट्रिगर करना संभव है। फिर सिमलिंक को किसी भिन्न स्थान पर इंगित करने के लिए संशोधित किया जा सकता है। जब oplock जारी होता है, तो FCConfig.exe सिमलिंक का अनुसरण करके नए गंतव्य पर जाएगा और फ़ाइल को वहाँ लिखेगा, जिसके परिणामस्वरूप एक मनमाना फ़ाइल लेखन होगा। फ़ाइल को मान्य XML होना चाहिए (ऐसा लगता है कि यह एक XML फ़ॉर्मेटर से गुज़रती है)।

मनमाना XML फ़ाइल लेखन को विशेषाधिकार प्राप्त कोड निष्पादन में बदलने के लिए, SYSTEM के रूप में चलने वाली प्रक्रिया के लिए DLL लोड को पुनर्निर्देशित करने के लिए एक एप्लिकेशन मैनिफेस्ट लिखा जाता है। इसके लिए C:\Windows\System32\CloudExperienceHostBroker.exe को चुना गया था:

• इसे एक निर्धारित कार्य \Microsoft\Windows\CloudExperienceHost\CreateObjectTask प्रारंभ करके एक सामान्य उपयोगकर्ता द्वारा निष्पादित किया जा सकता है।
• यह SYSTEM के रूप में चलता है।
• इसमें कोई एम्बेडेड मैनिफेस्ट नहीं है (जो प्राथमिकता लेगा)।
• इसमें पहले से कोई बाहरी मैनिफेस्ट नहीं है (जो संभवतः TrustedInstaller द्वारा संरक्षित होगा)।
• यह स्वचालित रूप से नहीं चलता है। जब एक एप्लिकेशन मैनिफेस्ट के बिना एक निष्पादन योग्य निष्पादित किया जाता है, तो विंडोज अगले रीबूट तक याद रखेगा कि उस निष्पादन योग्य के लिए कोई मैनिफेस्ट लोड नहीं किया जाना चाहिए। इसलिए जब तक हम अपने कोड निष्पादन के लिए अगले रीबूट तक प्रतीक्षा नहीं करना चाहते, हमें एक ऐसे निष्पादन योग्य को लक्षित करना होगा जो अक्सर निष्पादित नहीं होता है।

PoC निम्नलिखित चरणों का उपयोग करके भेद्यता का शोषण करता है:

1. एक पेलोड युक्त oleaut32.dll के लिए एक प्रॉक्सी DLL ("ExecDLL") को डिस्क पर ड्रॉप करें।
2. एक एप्लिकेशन मैनिफेस्ट को डिस्क पर लिखें जो oleaut32.dll को "ExecDLL" पर पुनर्निर्देशित करता है।
3. एक जंक्शन/सिमलिंक बनाएँ जो मैनिफेस्ट को इंगित करता है।
4. मैनिफेस्ट पर एक oplock सेट करें।
5. FortiTray.exe में एक DLL इंजेक्ट करें जो -f APPLICATION_MANIFEST_PATH -o A तर्कों के साथ FC_{F18F86FD-7503-4564-80CF-B6B199519837} नामित पाइप को एक कमांड भेजता है।
6. FCConfig.exe द्वारा oplock को ट्रिगर करने की प्रतीक्षा करें।
7. सिमलिंक को C:\Windows\System32\CloudExperienceHostBroker.exe.manifest पर इंगित करने के लिए संशोधित करें।
8. Olock जारी करें। FCConfig.exe अब एप्लिकेशन मैनिफेस्ट को पढ़ेगा और इसे नए सिमलिंक लक्ष्य पर लिखेगा।
9. \Microsoft\Windows\CloudExperienceHost\CreateObjectTask कार्य प्रारंभ करें। CloudExperienceHostBroker.exe अब SYSTEM के रूप में निष्पादित होगा, सिस्टम को के बजाय "ExecDLL" लोड करने का निर्देश देगा, और "ExecDLL" के संदर्भ में लोड और निष्पादित होगा।

नोट्स

• PoC अस्थायी फ़ोल्डर में ड्रॉप किए गए DLL को साफ़ करने का प्रयास नहीं करता है। इन्हें बाद में मैन्युअल रूप से हटाया जा सकता है।