Мастер эксплойта CVE-2025-59718

Обзор

Этот инструмент — proof-of-concept (PoC) скрипт эксплойта для CVE-2025-59718, критической уязвимости обхода аутентификации в продуктах Fortinet (например, FortiOS, FortiProxy, FortiSwitchManager), вызванной некорректной проверкой криптографических подписей в SAML-сообщениях для FortiCloud SSO. Уязвимость позволяет неаутентифицированным удалённым злоумышленникам обойти аутентификацию и получить административный доступ путём создания и отправки неподписанного SAML-ответа.

Важное примечание: Этот скрипт предназначен только для образовательных целей, исследований и авторизованного тестирования. Несанкционированное использование против систем без явного разрешения незаконно и неэтично. Всегда соблюдайте применимые законы и получайте надлежащее разрешение перед тестированием.

Скрипт поддерживает сканирование одной или нескольких целей, опциональное использование прокси, симуляцию повтора SAML-токена и перехвата сессий, а также действия после аутентификации, например загрузку файлов конфигурации. Для эффективности используется многопоточность, а результаты записываются в файлы для дальнейшего анализа.

Отказ от ответственности

Бюллетень безопасности: Обратитесь к официальному бюллетеню Fortinet (FG-IR-25-647) за сведениями о затронутых версиях, исправлениях и мерах по снижению риска.
Активная эксплуатация: По состоянию на 22 декабря 2025 года эта уязвимость активно эксплуатируется в дикой природе. Немедленно установите исправления или отключите FortiCloud SSO.
Этичное использование: Этот PoC демонстрирует воздействие уязвимости, чтобы повысить осведомлённость. Не используйте его на производственных системах или без разрешения. Автор не несёт ответственности за неправомерное использование.
Рекомендации по снижению риска: Обновитесь до исправленных версий (например, FortiOS 7.4.9 или новее) и отключите FortiCloud SSO через CLI:
```
config system global
set admin-forticloud-sso-login disable
end
```

Возможности

Режимы целей: Одиночная цель, список через запятую или ввод из файла.
Многопоточность: Параллельная обработка для массового сканирования (по умолчанию: 10 потоков).
Поддержка прокси: Маршрутизация трафика через прокси (например, для перехвата в Burp Suite).
Генерация SAML-полезной нагрузки: Динамическое создание неподписанных SAML-ответов для обхода.
Проверка уязвимости: Подтверждение успеха по HTTP-статусу и ключевым словам в ответе.
Действия после аутентификации: Опциональная загрузка файлов системной конфигурации.
Повтор и перехват: Симуляция повтора SAML-токена и перехвата сессии SSO (с использованием предоставленного токена).
Журналирование и вывод: Подробные логи в консоли, уязвимые цели сохраняются в TXT, отчёты — в CSV.
Интерфейс командной строки: Гибкие аргументы для неинтерактивного использования.

Требования

Версия Python: 3.8 или выше.
Зависимости: Установка через pip:
```
pip install requests argparse
```
(Скрипт использует стандартные библиотеки для большинства функций; никаких дополнительных установок, кроме этих, не требуется.)
Окружение: Протестировано на Linux, macOS и Windows. Убедитесь в наличии сетевого доступа к целям.
Права: Запускайте с достаточными привилегиями для операций ввода-вывода с файлами (например, для записи журналов и конфигураций).

Установка

Склонируйте или загрузите скрипт (например, exploit.py).
Установите зависимости:
```
pip install -r requirements.txt
```
(При необходимости создайте requirements.txt с содержимым: requests и argparse.)
Убедитесь, что скрипт исполняемый (в Unix-подобных системах):
```
chmod +x exploit.py
```

Использование

Запустите скрипт через Python:

python exploit.py [options]

Аргументы командной строки

--target <IP/hostname>: Одиночная цель для сканирования (например, 192.168.1.1 или example.com).
--targets <comma-separated list>: Несколько целей (например, 192.168.1.1,example.com).
--file <path>: Файл с одной целью в строке.
--username <name>: Имя пользователя для подстановки в SAML-полезную нагрузку (по умолчанию: admin).
--endpoint <path>: Конечная точка входа SAML (по умолчанию: /remote/saml/login).
--max-threads <int>: Максимальное количество параллельных потоков (по умолчанию: 10; рекомендуемый максимум: 50).
--saml-token <token>: SAML-токен в кодировке Base64 для повтора/перехвата (необязательно).

Примечание: Если параметры целей не указаны, скрипт завершится с ошибкой.

Примеры

Сканирование одиночной цели:
```
python exploit.py --target 192.168.1.1 --username admin --proxy http://127.0.0.1:8080
```
Сканирует одно устройство, выдавая себя за admin, через локальный прокси.
Массовое сканирование из списка:
```
python exploit.py --targets 192.168.1.1,example.com --max-threads 20 --post-auth-config
```
Сканирует несколько целей параллельно, включает загрузку конфигурации при успехе.
Сканирование из файла с повтором токена:
```
python exploit.py --file targets.txt --saml-token <base64_token> --endpoint /custom/saml
```
Обрабатывает цели из targets.txt, выполняет попытку повтора/перехвата токена.
Полное неинтерактивное сканирование:
```
python exploit.py --file targets.txt --username superadmin --max-threads 15 --post-auth-config --output-file results.csv
```
Пользовательское имя пользователя, большое количество потоков, загрузка конфигурации, пользовательский вывод.

Как это работает

Разбор входных данных: Сбор целей и параметров через аргументы CLI.
SAML-полезная нагрузка: Формирование поддельного неподписанного SAML-ответа с динамическими метками времени и полями, зависящими от цели.
Попытка эксплойта: Отправка POST-запроса на конечную точку SAML; проверка успеха (200/302 + ключевые слова, например «dashboard»).
Пост-эксплуатация:
- Записывает cookie и URL в журнал.
- Опционально загружает конфигурацию через /api/v2/monitor/system/config/backup.
- Симулирует повтор/перехват при наличии токена (с использованием новых сессий).
Вывод: Сведения об уязвимых целях в TXT, метрики атак в CSV (например, цель, тип атаки, результат, статус).
Обработка ошибок: Надёжный перехват сетевых проблем, ошибок ввода-вывода и некорректных входных данных; ошибки записываются в журнал без сбоев в работе.

Формат вывода

Логи консоли: Прогресс в реальном времени, успехи, предупреждения, ошибки.
vulnerable_targets.txt: Список уязвимых устройств с cookie и URL.
attack_report.csv: Структурированный отчёт со столбцами: Target, Username, Attack Type (например, Config Download, SAML Token Replay), Result (Success/Failed), Status Code.

Пример строки CSV:

Target,Username,Attack Type,Result,Status Code
https://192.168.1.1,admin,Config Download,Success,200

Ограничения

Ложные срабатывания/пропуски: Предполагается, что FortiCloud SSO включён; возможны сбои, если он отключён или установлены исправленные версии.
Сетевые зависимости: Требуется прямой доступ к целям или через прокси; тайм-аут через 15 секунд.
Функции токена: Повтор/перехват являются симуляцией; фактическое похищение сессии требует собственной логики.
Потокобезопасность: Для записи в файлы используются блокировки; большое количество потоков может создать нагрузку на ресурсы.
Отсутствие постоянства: Сессии не сохраняются после отдельных запусков.

Устранение неполадок

Ошибки подключения: Проверьте сеть/межсетевой экран; используйте --proxy для отладки.
Некорректные цели: Убедитесь, что IP-адреса/имена хостов разрешаются; префикс протокола не требуется.
Проблемы с зависимостями: Убедитесь, что requests и argparse установлены.
Крупные сканирования: Уменьшите --max-threads, если достигнуты ограничения ресурсов.

Участие в разработке

Это PoC; приветствуется вклад в виде улучшений (например, более качественное обнаружение, дополнительные функции) через pull request. Сосредоточьтесь на безопасности и этике.

Ссылки

Бюллетень Fortinet: FG-IR-25-647
Сведения о CVE: CVE-2025-59718
Связанное: В атаках часто используется в паре с CVE-2025-59719.

Последнее обновление: 22 декабря 2025 года

CVE-2025-59718-PoC

Популярное