CVE-2024-55591용 ScaryByte R&D PoC

특정 Fortinet 장치의 치명적인 인증 우회 취약점(CVE-2024-55591)을 발견하고 악용하기 위한 포괄적인 올인원 Python 기반 Proof of Concept 스크립트입니다. 이 스크립트는 다음과 같은 기능을 제공합니다:

1. 누락된 종속성 자동 설치
2. 선택적으로 nmap을 사용하여 대상 호스트의 열린 포트 스캔
3. 서비스가 Fortinet 장치인지 및 취약한지 확인하는 사전 점검 수행
4. WebSocket 인터페이스를 악용하여 Telnet 유사 CLI 세션 하이재킹
5. 익스플로잇 후 초기 또는 다중 명령 실행
6. Fortinet PSIRT FG-IR-24-535의 알려진 취약 버전 범위와 장치 버전 대조

목차

• 취약점 요약
• 영향을 받는 버전
• 사전 요구 사항
• 사용 방법
  • 1. 클론 및 설치
  • 2. 스크립트 실행
  • 3. 마법사 진행
• 기능
  • 자동 종속성 설치
  • 선택적 Nmap SYN 스캔
  • 다중 포트 테스트
  • 익스플로잇 후 명령
  • 버전 파싱 및 취약점 확인
• 예제 워크스루
  • 1. 초기 마법사 프롬프트
  • 2. Nmap 결과 및 포트 선택
  • 3. 익스플로잇 흐름
  • 4. 익스플로잇 후 흐름
• 면책 조항

취약점 요약

CVE-2024-55591은 특정 Fortinet 제품(FortiOS 및 FortiProxy)의 치명적인 인증 우회 취약점입니다. WebSocket/Telnet 관리 인터페이스의 결함을 악용하면 공격자는 유효한 자격 증명 없이 권한 있는 CLI 액세스를 얻을 수 있습니다.

영향을 받는 버전

Fortinet PSIRT 권고(FG-IR-24-535)에 따르면 다음 버전이 영향을 받는 것으로 알려져 있습니다:

• FortiOS: 7.0.0 ~ 7.0.16
• FortiProxy: 7.0.0 ~ 7.0.19, 7.2.0 ~ 7.2.12

사전 요구 사항

• Python 3.x
• (선택 사항) 자동 포트 스캔을 위한 Nmap
• 대상 장치에 대한 네트워크 액세스
• (필요한 경우) 누락된 Python 패키지를 설치할 수 있는 로컬 머신의 충분한 권한

사용 방법

1. 클론 및 설치

git clone https://github.com/exfil0/CVE-2024-55591-POC.git
cd CVE-2024-55591-POC

2. 스크립트 실행

python3 attack.py

실행하면 스크립트는 누락된 Python 종속성(requests, urllib3)을 자동으로 확인하고 설치를 시도합니다.

3. 마법사 진행

다음 항목을 입력하라는 메시지가 표시됩니다:

1. 대상 IP/호스트명
2. 열린 포트를 찾기 위해 Nmap 실행 여부
3. 여러 개의 열린 포트가 발견된 경우 모두 테스트할지 또는 하나만 테스트할지
4. SSL 사용 여부
5. 초기에 실행할 명령(사전 정의된 목록에서 선택하거나 직접 입력 가능)
6. (선택 사항) 익스플로잇 후 명령 실행 여부

확인하면 스크립트는 연결을 테스트하고, 취약점을 확인하고, 연결을 WebSocket으로 업그레이드한 후 인증 우회를 시도합니다.

기능

자동 종속성 설치

시작 시 이 스크립트는 requests와 urllib3를 확인합니다. 누락된 경우 pip를 통해 설치를 시도합니다.

선택적 Nmap SYN 스캔

원하는 경우 스크립트는 nmap -sS -p- --min-rate 500 <host>를 실행하여 열린 TCP 포트를 찾은 후 다음 중 하나를 수행합니다:

• 발견된 모든 포트를 시도
• 직접 하나를 선택

다중 포트 테스트

여러 포트가 열려 있는 것으로 발견되면 스크립트에 모두 테스트하도록 지시할 수 있습니다. 이는 Fortinet 서비스가 비표준 포트에서 수신 대기 중인 경우 유용합니다.

익스플로잇 후 명령

익스플로잇이 성공하면 동일한 Telnet 세션에서 다음 명령과 같은 추가 명령을 선택적으로 실행할 수 있습니다:

• diag sys top
• diag debug crashlog read
• execute shell

더 고급 데이터를 수집하기 위해 스크립트에서 이러한 익스플로잇 후 명령을 수정할 수 있습니다.

버전 파싱 및 취약점 확인

스크립트는 get system status 또는 get system info의 출력에서 장치 버전을 파싱하려고 시도합니다. 알려진 취약 범위와 일치하면 알려줍니다.

예제 워크스루

1. 초기 마법사 프롬프트

1. 대상 IP: 예: 192.168.1.50
2. Nmap 스캔?: y (예) - 열린 포트 발견
3. SSL?: 일반적으로 HTTPS/443으로 연결하는 경우 y
4. 초기 명령: 예: get system status
5. 익스플로잇 후 명령: y 또는 n

2. Nmap 결과 및 포트 선택

Nmap이 여러 개의 열린 포트를 발견하면 모든 포트를 자동으로 테스트하거나 특정 포트를 선택할 수 있습니다.

3. 익스플로잇 흐름

• 스크립트는 /login?redir=/ng가 Fortinet의 관리 인터페이스를 반환하는지 확인합니다
• 스크립트는 service-worker.js?local_access_token=ScaryBYte에 api/v2/static 하위 문자열이 포함되어 있는지 확인합니다
• 두 확인이 모두 통과하면 WebSocket 업그레이드를 시도하고 가짜 Telnet 로그인 컨텍스트를 전송합니다
• Telnet 유사 CLI가 확보되면 get system status와 같은 명령을 실행할 수 있습니다

4. 익스플로잇 후 흐름

익스플로잇 후 모드가 활성화되면 스크립트는 추가 디버그 또는 시스템 명령을 전송합니다. 출력은 수집되어 콘솔에 표시됩니다.

면책 조항

이 Proof of Concept 스크립트는 교육 및 테스트 목적으로만 제공됩니다. 명시적 허가 없이 시스템을 무단으로 악용하는 것은 불법입니다. 시스템을 스캔하거나 테스트하기 전에 항상 적절한 승인을 받았는지 확인하고, 패치 정보는 Fortinet 권고(FG-IR-24-535)를 참조하십시오.