ScaryByte R&D PoC para CVE-2024-55591

Um script de Prova de Conceito tudo-em-um abrangente baseado em Python para descobrir e explorar uma vulnerabilidade crítica de bypass de autenticação (CVE-2024-55591) em determinados dispositivos Fortinet. Este script:

1. Instala dependências ausentes automaticamente
2. Opcionalmente, escaneia um host alvo em busca de portas abertas usando nmap
3. Realiza verificações prévias para garantir que o serviço é um dispositivo Fortinet e está vulnerável
4. Explora a interface WebSocket para sequestrar uma sessão CLI semelhante ao Telnet
5. Executa um ou vários comandos iniciais pós-exploração
6. Verifica a versão do dispositivo em relação às faixas vulneráveis conhecidas do Fortinet PSIRT FG-IR-24-535

Índice

• Resumo da Vulnerabilidade
• Versões Afetadas
• Pré-requisitos
• Uso
  • 1. Clonar e Instalar
  • 2. Executar o Script
  • 3. Seguir o Assistente
• Funcionalidades
  • Instalação Automática de Dependências
  • Escaneamento SYN Opcional com Nmap
  • Teste de Múltiplas Portas
  • Comandos Pós-Exploração
  • Análise de Versão e Verificação de Vulnerabilidade
• Exemplo Passo a Passo
  • 1. Solicitações Iniciais do Assistente
  • 2. Resultados do Nmap e Seleção de Porta
  • 3. Fluxo de Exploração
  • 4. Fluxo Pós-Exploração
• Aviso Legal

Resumo da Vulnerabilidade

O CVE-2024-55591 é um bypass crítico de autenticação em determinados produtos Fortinet (FortiOS e FortiProxy). Ao explorar uma falha na interface de gerenciamento WebSocket/Telnet, um atacante pode obter acesso CLI privilegiado sem credenciais válidas.

Versões Afetadas

De acordo com o Comunicado do Fortinet PSIRT (FG-IR-24-535), as seguintes versões são conhecidas como afetadas:

• FortiOS: 7.0.0 a 7.0.16
• FortiProxy: 7.0.0 a 7.0.19, 7.2.0 a 7.2.12

Pré-requisitos

• Python 3.x
• (Opcional) Nmap para escaneamento automático de portas
• Acesso de rede ao dispositivo alvo
• Privilégios suficientes na sua máquina local para instalar pacotes Python ausentes (se necessário)

Uso

1. Clonar e Instalar

git clone https://github.com/exfil0/CVE-2024-55591-POC.git
cd CVE-2024-55591-POC

2. Executar o Script

python3 attack.py

Quando executado, o script automaticamente verifica dependências Python ausentes (requests, urllib3) e tenta instalá-las.

3. Seguir o Assistente

Você será solicitado a fornecer:

1. IP/Hostname alvo
2. Se deseja executar o Nmap para encontrar portas abertas
3. Se várias portas abertas forem encontradas, se deseja testar TODAS ou apenas uma
4. Se deseja usar SSL
5. Um Comando para executar inicialmente (você pode selecionar de uma lista predefinida ou fornecer o seu próprio)
6. (Opcional) Se deseja executar comandos pós-exploração

Após confirmar, o script testa a conectividade, verifica a vulnerabilidade, atualiza a conexão para WebSocket e tenta o bypass de autenticação.

Funcionalidades

Instalação Automática de Dependências

Na inicialização, este script verifica requests e urllib3. Se ausentes, tenta instalá-los via pip.

Escaneamento SYN Opcional com Nmap

Se você escolher, o script executa nmap -sS -p- --min-rate 500 <host> para descobrir portas TCP abertas e então:

• Tenta todas as portas descobertas
• Permite que você escolha uma

Teste de Múltiplas Portas

Se várias portas forem descobertas abertas, você pode instruir o script a testá-las todas. Isso é útil se os serviços Fortinet estiverem ouvindo em portas não padrão.

Comandos Pós-Exploração

Se a exploração for bem-sucedida, você pode opcionalmente executar comandos adicionais na mesma sessão Telnet, como:

• diag sys top
• diag debug crashlog read
• execute shell

Você pode modificar esses comandos pós-exploração no script para coletar dados mais avançados.

Análise de Versão e Verificação de Vulnerabilidade

O script tenta analisar a versão do dispositivo a partir da saída de get system status ou get system info. Se corresponder a uma faixa vulnerável conhecida, ele notifica você.

Exemplo Passo a Passo

1. Solicitações Iniciais do Assistente

1. IP alvo: por exemplo, 192.168.1.50
2. Escaneamento Nmap?: y (Sim) para descobrir portas abertas
3. SSL?: Geralmente s se conectar via HTTPS/443
4. Comando Inicial: por exemplo, get system status
5. Comandos pós-exploração: y ou n

2. Resultados do Nmap e Seleção de Porta

Se o Nmap encontrar várias portas abertas, você pode optar por testar todas as portas automaticamente ou escolher uma específica.

3. Fluxo de Exploração

• O script verifica se /login?redir=/ng retorna a interface de gerenciamento do Fortinet
• O script verifica se service-worker.js?local_access_token=ScaryBYte contém a substring api/v2/static
• Se ambas as verificações passarem, ele tenta a atualização WebSocket e envia um contexto de login Telnet falso
• Depois de obter um CLI semelhante ao Telnet, você pode executar comandos como get system status

4. Fluxo Pós-Exploração

Se o modo pós-exploração estiver ativado, o script envia comandos adicionais de depuração ou sistema. A saída é coletada e exibida no seu console.

Aviso Legal

Este script de Prova de Conceito é fornecido apenas para fins educacionais e de teste. A exploração não autorizada de sistemas sem permissão explícita é ilegal. Sempre garanta que você tenha as aprovações adequadas antes de escanear ou testar qualquer sistema, e consulte o Comunicado da Fortinet (FG-IR-24-535) para informações sobre patches.