ScaryByte R&D PoC per CVE-2024-55591

Uno script Proof of Concept tutto-in-uno basato su Python per scoprire e sfruttare una vulnerabilità critica di bypass dell'autenticazione (CVE-2024-55591) in alcuni dispositivi Fortinet. Questo script:

1. Installa automaticamente le dipendenze mancanti
2. Scansiona opzionalmente un host target per porte aperte usando nmap
3. Esegue controlli preliminari per assicurarsi che il servizio sia un dispositivo Fortinet e che sia vulnerabile
4. Sfrutta l'interfaccia WebSocket per dirottare una sessione CLI simile a Telnet
5. Esegue un comando iniziale o più comandi post-exploit
6. Controlla la versione del dispositivo rispetto agli intervalli vulnerabili noti da Fortinet PSIRT FG-IR-24-535

Sommario

• Sommario della vulnerabilità
• Versioni interessate
• Prerequisiti
• Utilizzo
  • 1. Clonare e installare
  • 2. Eseguire lo script
  • 3. Seguire la procedura guidata
• Caratteristiche
  • Installazione automatica delle dipendenze
  • Scansione SYN opzionale con Nmap
  • Test multi-porta
  • Comandi post-exploitation
  • Parsing della versione e controllo della vulnerabilità
• Esempio passo-passo
  • 1. Richieste iniziali della procedura guidata
  • 2. Risultati Nmap e selezione della porta
  • 3. Flusso di sfruttamento
  • 4. Flusso post-exploit
• Disclaimer

Sommario della vulnerabilità

CVE-2024-55591 è un bypass critico dell'autenticazione in alcuni prodotti Fortinet (FortiOS & FortiProxy). Sfruttando una falla nell'interfaccia di gestione WebSocket/Telnet, un attaccante può ottenere accesso CLI privilegiato senza credenziali valide.

Versioni interessate

Secondo l'Avviso PSIRT di Fortinet (FG-IR-24-535), le seguenti versioni sono note per essere interessate:

• FortiOS: da 7.0.0 a 7.0.16
• FortiProxy: da 7.0.0 a 7.0.19, da 7.2.0 a 7.2.12

Prerequisiti

• Python 3.x
• (Opzionale) Nmap per la scansione automatica delle porte
• Accesso di rete al dispositivo target
• Privilegi sufficienti sul proprio computer per installare i pacchetti Python mancanti (se necessario)

Utilizzo

1. Clonare e installare

git clone https://github.com/exfil0/CVE-2024-55591-POC.git
cd CVE-2024-55591-POC

2. Eseguire lo script

python3 attack.py

Quando viene eseguito, lo script verifica automaticamente le dipendenze Python mancanti (requests, urllib3) e tenta di installarle.

3. Seguire la procedura guidata

Ti verrà chiesto di fornire:

1. IP/Hostname del target
2. Se eseguire Nmap per trovare le porte aperte
3. Se, in caso di più porte aperte, testare TUTTE o solo una
4. Se usare SSL
5. Un comando da eseguire inizialmente (puoi selezionare da un elenco predefinito o fornirne uno tuo)
6. (Opzionale) Se eseguire comandi post-exploitation

Una volta confermato, lo script testa la connettività, verifica la vulnerabilità, aggiorna la connessione a WebSocket e tenta il bypass dell'autenticazione.

Caratteristiche

Installazione automatica delle dipendenze

All'avvio, questo script verifica la presenza di requests e urllib3. Se mancano, tenta di installarli tramite pip.

Scansione SYN opzionale con Nmap

Se lo desideri, lo script esegue nmap -sS -p- --min-rate 500 <host> per scoprire le porte TCP aperte, quindi:

• Tenta tutte le porte scoperte
• Ti permette di sceglierne una

Test multi-porta

Se vengono scoperte più porte aperte, puoi indicare allo script di testarle tutte. Questo è utile se i servizi Fortinet sono in ascolto su porte non standard.

Comandi post-exploitation

Se lo sfruttamento riesce, puoi opzionalmente eseguire comandi aggiuntivi nella stessa sessione Telnet, come:

• diag sys top
• diag debug crashlog read
• execute shell

Puoi modificare questi comandi post-exploitation nello script per raccogliere dati più avanzati.

Parsing della versione e controllo della vulnerabilità

Lo script tenta di estrarre la versione del dispositivo dall'output di get system status o get system info. Se corrisponde a un intervallo vulnerabile noto, te lo notifica.

Esempio passo-passo

1. Richieste iniziali della procedura guidata

1. IP del target: ad es., 192.168.1.50
2. Scansione Nmap?: y (Sì) per scoprire le porte aperte
3. SSL?: Tipicamente y se ci si connette via HTTPS/443
4. Comando iniziale: ad es., get system status
5. Comandi post-exploit: y o n

2. Risultati Nmap e selezione della porta

Se Nmap trova più porte aperte, puoi scegliere di testare automaticamente tutte le porte o selezionarne una specifica.

3. Flusso di sfruttamento

• Lo script verifica se /login?redir=/ng restituisce l'interfaccia di gestione di Fortinet
• Lo script verifica se service-worker.js?local_access_token=ScaryBYte contiene la sottostringa api/v2/static
• Se entrambi i controlli hanno successo, tenta l'upgrade a WebSocket e invia un finto contesto di login Telnet
• Una volta ottenuta una CLI simile a Telnet, puoi eseguire comandi come get system status

4. Flusso post-exploit

Se la modalità post-exploit è abilitata, lo script invia ulteriori comandi di debug o di sistema. L'output viene raccolto e mostrato nella console.

Disclaimer

Questo script Proof of Concept è fornito solo a scopo educativo e di test. Lo sfruttamento non autorizzato di sistemi senza esplicita autorizzazione è illegale. Assicurati sempre di avere le opportune approvazioni prima di scansionare o testare qualsiasi sistema e fai riferimento all'Avviso di Fortinet (FG-IR-24-535) per le informazioni sulle patch.