Descrizione

Exploit PoC di escalation dei privilegi locale per CVE-2025-62676 / EUVD-2025-206993 che mira a FortiClient VPN in esecuzione su Windows. Esegue un payload nel contesto di SYSTEM da un contesto utente normale tramite una scrittura arbitraria di file XML. Il PoC è stato testato contro FortiClient versione 7.4.0 su Windows 11 Pro. Le seguenti versioni sono vulnerabili secondo il fornitore:

• 7.4.0 - 7.4.4
• 7.2.0 - 7.2.12
• 7.0 (tutte le versioni)

La vulnerabilità è stata segnalata tramite Trend Micro Zero Day Initiative: https://www.zerodayinitiative.com/advisories/ZDI-26-115/

Avviso ufficiale da Fortinet: https://fortiguard.fortinet.com/psirt/FG-IR-25-661

Dipendenze

• OffWinLib è usato come sottomodulo Git.
• Windows Implementation Libraries (WIL) tramite il pacchetto NuGet Microsoft.Windows.ImplementationLibrary. Se non viene installato automaticamente in fase di compilazione, esegui nuget restore.

Come compilare

1. Clona il repository con git clone --recursive.
2. Il payload predefinito esegue cmd /c whoami > C:\whoami.txt. Per modificarlo, modifica dllmail.cpp nel progetto ExecDLL.
3. Compila la soluzione FortiLPE.

Come usare

1. Esegui `FortiLPE.exe´.
2. Se il payload non viene eseguito, probabilmente è perché CloudExperienceHostBroker.exe è stato eseguito dall'ultimo riavvio prima di eseguire il PoC. Riavvia la macchina e avvia manualmente l'attività CreateObjectTask (Start-ScheduledTask -TaskPath \Microsoft\Windows\CloudExperienceHost -TaskName CreateObjectTask). Vedi Dettagli tecnici per maggiori dettagli.

Dettagli tecnici

FortiClient crea una named pipe FC_{F18F86FD-7503-4564-80CF-B6B199519837} a cui gli utenti normali possono comunicare. La comunicazione è limitata ai processi in esecuzione dalla cartella del programma FortiClient (C:\Program Files\Fortinet\FortiClient), ma questo può essere aggirato iniettando codice nel processo in esecuzione FortiTray.exe, che è in esecuzione dalla cartella del programma. Attraverso questa named pipe, è possibile lanciare un'istanza di FCConfig.exe in esecuzione come SYSTEM con argomenti controllati dall'utente.

Specificando un'operazione non riconosciuta (-o A), FCConfig.exe leggerà un file di destinazione (-f FILE) e poi lo riscriverà nella stessa posizione (non è chiaro il motivo di questo comportamento). Impostando la destinazione su un symlink/junction che punta a un file specifico e impostando un oplock sul file, è possibile far sì che il processo segua il symlink, legga il file e attivi l'oplock. Il symlink può quindi essere modificato per puntare a una posizione diversa. Quando l'oplock viene rilasciato, FCConfig.exe seguirà il symlink verso la nuova destinazione e scriverà il file lì, risultando in una scrittura arbitraria di file. Il file deve essere XML valido (sembra passare attraverso un formattatore XML).

Per trasformare la scrittura arbitraria di file XML in esecuzione di codice privilegiato, viene scritto un manifesto dell'applicazione per reindirizzare un caricamento DLL per un processo in esecuzione come SYSTEM. C:\Windows\System32\CloudExperienceHostBroker.exe è stato scelto per questo:

• Può essere eseguito da un utente normale avviando l'attività pianificata \Microsoft\Windows\CloudExperienceHost\CreateObjectTask.
• Viene eseguito come SYSTEM.
• Non ha un manifesto embedded (che avrebbe la priorità).
• Non ha già un manifesto esterno (che probabilmente sarebbe protetto da TrustedInstaller).
• Non viene eseguito automaticamente. Quando un eseguibile senza un manifesto dell'applicazione viene eseguito, Windows ricorderà che nessun manifesto deve essere caricato per quell'eseguibile fino al prossimo riavvio. Quindi, a meno che non si voglia attendere il prossimo riavvio per l'esecuzione del codice, è necessario scegliere come target un eseguibile che non viene eseguito spesso.

Il PoC sfrutta la vulnerabilità utilizzando i seguenti passaggi:

1. Rilascia una DLL proxy ("ExecDLL") su disco per oleaut32.dll che contiene un payload.
2. Scrive un manifesto dell'applicazione su disco che reindirizza oleaut32.dll a "ExecDLL".
3. Crea un symlink/junction che punta al manifesto.
4. Imposta un oplock sul manifesto.
5. Inietta una DLL in FortiTray.exe che invia un comando alla named pipe FC_{F18F86FD-7503-4564-80CF-B6B199519837} con gli argomenti -f APPLICATION_MANIFEST_PATH -o A.
6. Attendi che FCConfig.exe attivi l'oplock.
7. Modifica il symlink in modo che punti a C:\Windows\System32\CloudExperienceHostBroker.exe.manifest.
8. Rilascia l'oplock. FCConfig.exe leggerà ora il manifesto dell'applicazione e lo scriverà nella nuova destinazione del symlink.
9. Avvia l'attività \Microsoft\Windows\CloudExperienceHost\CreateObjectTask. CloudExperienceHostBroker.exe verrà ora eseguito come SYSTEM, dirà al sistema di caricare "ExecDLL" anziché , e "ExecDLL" verrà caricato ed eseguito nel contesto di .

Note

• Il PoC non tenta di pulire le DLL rilasciate nella cartella temporanea. Queste possono essere eliminate manualmente in seguito.