CVE-2025-59718 エクスプロイトウィザード

概要

このツールは、CVE-2025-59718（Fortinet製品（FortiOS、FortiProxy、FortiSwitchManagerなど）における、FortiCloud SSO向けSAMLメッセージの暗号署名の検証不備に起因する重大な認証バイパス脆弱性）の概念実証（PoC）エクスプロイトスクリプトです。この脆弱性により、認証されていないリモート攻撃者が認証をバイパスし、署名なしSAML応答を細工して送信することで管理アクセスを取得できます。

重要なお知らせ: このスクリプトは教育、研究、および許可されたテスト目的のみを意図しています。明示的な許可なくシステムに対して不正に使用することは違法であり、倫理に反します。常に適用される法律を遵守し、テスト前に適切な許可を取得してください。

このスクリプトは、単一またはバルクターゲットスキャン、オプションのプロキシ使用、SAMLトークンリプレイおよびセッションハイジャックのシミュレーション、設定ファイルのダウンロードなどの認証後アクションをサポートします。マルチスレッドを使用して効率化し、結果をファイルに記録して分析します。

免責事項

• セキュリティ勧告: 影響を受けるバージョン、パッチ、および緩和策の詳細については、Fortinetの公式勧告（FG-IR-25-647）を参照してください。
• 活発な悪用: 2025年12月22日現在、この脆弱性は実際に悪用されています。直ちにパッチを適用するか、FortiCloud SSOを無効にしてください。
• 倫理的な使用: このPoCは脆弱性の影響を認識させるためにデモンストレーションします。本番システムまたは許可なく使用しないでください。作者は誤用に対する責任を負いません。
• 緩和策の推奨: 修正済みバージョン（例：FortiOS 7.4.9以降）にアップグレードし、CLIでFortiCloud SSOを無効にしてください：
  root@kitploit:~

  config system global
  set admin-forticloud-sso-login disable
  end
  

特徴

• ターゲットモード: 単一ターゲット、カンマ区切りリスト、またはファイルベースの入力。
• マルチスレッド: バルクスキャンの並列処理（デフォルト：10スレッド）。
• プロキシサポート: プロキシ経由のトラフィックルーティング（例：Burp Suiteインターセプト用）。
• SAMLペイロード生成: バイパス用の署名なしSAML応答を動的に生成。
• 脆弱性チェック: HTTPステータスと応答キーワードで成功を確認。
• 認証後アクション: システム設定ファイルのオプションのダウンロード。
• リプレイ＆ハイジャック: SAMLトークンリプレイとSSOセッションハイジャックのシミュレーション（提供されたトークンを使用）。
• ログと出力: 詳細なコンソールログ、脆弱なターゲットをTXTに保存、CSVにレポート出力。
• コマンドラインインターフェース: 非対話型使用のための柔軟な引数。

必要条件

• Pythonバージョン: 3.8以上。
• 依存関係: pipでインストール：
  root@kitploit:~

  pip install requests argparse
  

  （スクリプトはほとんどの機能に標準ライブラリを使用。これ以外に追加インストールは不要。）
• 環境: Linux、macOS、Windowsでテスト済み。ターゲットへのネットワークアクセスが必要。
• 権限: ファイルI/O（ログや設定の書き込みなど）に十分な権限で実行。

インストール

1. スクリプトをクローンまたはダウンロード（例：exploit.py）。
2. 依存関係をインストール：
   root@kitploit:~

   pip install -r requirements.txt
   

   （必要に応じてrequirements.txtを作成し、requestsとargparseを記述。）
3. スクリプトを実行可能に設定（Unix系システムの場合）：
   root@kitploit:~

   chmod +x exploit.py
   

使い方

Pythonでスクリプトを実行：

python exploit.py [options]

コマンドライン引数

• --target <IP/ホスト名>: スキャンする単一ターゲット（例：192.168.1.1 または example.com）。
• --targets <カンマ区切りリスト>: 複数ターゲット（例：192.168.1.1,example.com）。
• --file <パス>: ターゲットを1行に1つ記述したファイル。
• --username <名前>: SAMLペイロードで偽装するユーザー名（デフォルト：admin）。
• --endpoint <パス>: SAMLログインエンドポイント（デフォルト：/remote/saml/login）。
• --max-threads <整数>: 最大同時スレッド数（デフォルト：10、推奨最大：50）。
• --saml-token <トークン>: リプレイ/ハイジャック用のBase64エンコードされたSAMLトークン（オプション）。
• --proxy <URL>: プロキシURL（例：）。

注意: ターゲットオプションが指定されていない場合、スクリプトはエラーで終了します。

例

1. 単一ターゲットスキャン:

   root@kitploit:~

   python exploit.py --target 192.168.1.1 --username admin --proxy http://127.0.0.1:8080
   

   ローカルプロキシ経由で単一デバイスをスキャンし、adminを偽装。

2. リストからのバルクスキャン:

   root@kitploit:~

   python exploit.py --targets 192.168.1.1,example.com --max-threads 20 --post-auth-config
   

   複数ターゲットを並列スキャン、成功時に設定ダウンロードを有効化。

3. トークンリプレイによるファイルベーススキャン:

   root@kitploit:~

   python exploit.py --file targets.txt --saml-token <base64_token> --endpoint /custom/saml
   

   targets.txtからターゲットを処理し、トークンリプレイ/ハイジャックを試行。

4. 非対話型フルスキャン:

   root@kitploit:~

   python exploit.py --file targets.txt --username superadmin --max-threads 15 --post-auth-config --output-file results.csv
   

   カスタムユーザー名、高スレッド数、設定ダウンロード、カスタム出力。

動作の仕組み

1. 入力解析: CLI引数からターゲットとオプションを収集。
2. SAMLペイロード: 動的なタイムスタンプとターゲット固有のフィールドを含む偽造された署名なしSAML応答を生成。
3. エクスプロイト試行: SAMLエンドポイントにPOSTリクエストを送信。成功は（200/302 + "dashboard"などのキーワード）で確認。
4. ポストエクスプロイト:
   • クッキーとURLをログに記録。
   • オプションで/api/v2/monitor/system/config/backup経由で設定をダウンロード。
   • トークンが提供された場合、リプレイ/ハイジャックをシミュレーション（新しいセッションを使用）。
5. 出力: 脆弱な詳細をTXTに、攻撃メトリクスをCSVに出力（例：ターゲット、攻撃タイプ、結果、ステータス）。
6. エラーハンドリング: ネットワーク問題、ファイルI/O、無効な入力に対する堅牢なキャッチ。クラッシュせずにエラーをログに記録。

出力形式

• コンソールログ: リアルタイムの進行状況、成功、警告、エラー。
• vulnerable_targets.txt: クッキーとURL付きの脆弱なデバイスのリスト。
• attack_report.csv: 列（ターゲット、ユーザー名、攻撃タイプ（例：設定ダウンロード、SAMLトークンリプレイ）、結果（成功/失敗）、ステータスコード）を含む構造化レポート。

CSV行の例：

Target,Username,Attack Type,Result,Status Code
https://192.168.1.1,admin,Config Download,Success,200

制限事項

• 誤検出/見逃し: FortiCloud SSOが有効であることを前提としています。無効またはパッチ適用済みのバージョンでは失敗する可能性があります。
• ネットワーク依存: ターゲットへの直接/プロキシアクセスが必要。15秒でタイムアウト。
• トークン機能: リプレイ/ハイジャックはシミュレーションです。実際のセッション窃取にはカスタムロジックが必要。
• スレッド安全性: ファイル書き込みにロックを使用。高スレッド数はリソースを圧迫する可能性があります。
• 持続性なし: 単回実行を超えてセッションを維持しません。

トラブルシューティング

• 接続エラー: ネットワーク/ファイアウォールを確認。デバッグには--proxyを使用。
• 無効なターゲット: IP/ホスト名が解決可能であることを確認。プロトコルプレフィックスは不要。
• 依存関係の問題: requestsとargparseがインストールされていることを確認。
• 大規模スキャン: リソース制限に達した場合は--max-threadsを減らしてください。

貢献

これはPoCです。改善（検出の向上、追加機能など）のための貢献はプルリクエストで歓迎します。安全性と倫理に重点を置いてください。

参考文献

• Fortinet Advisory: FG-IR-25-647
• CVE詳細: CVE-2025-59718
• 関連: 攻撃ではCVE-2025-59719と組み合わせて使用されることが多い。

最終更新日: 2025年12月22日