fgt-cve-2023-27997-exploit

FortiGate SSL‑VPN CVE‑2023‑27997 PoC-скрипт эксплойта с ROP-цепочкой

Содержание

Описание
Затронутые версии
Установка
Использование
Пример вывода
Технические детали
Предупреждения
Источники

Описание

fgt-cve-2023-27997-exploit.py — это Proof‑of‑Concept (PoC) скрипт эксплойта, написанный для критической уязвимости CVE‑2023‑27997, обнаруженной в устройствах Fortinet FortiGate.
Уязвимость возникает из-за ошибки heap-based buffer overflow, которая позволяет удаленно выполнять код (RCE) в интерфейсе FortiOS SSL‑VPN без аутентификации.

Шаги работы скрипта:

Получает значение salt с целевого устройства.
Генерирует специальную ROP (Return‑Oriented Programming) цепочку.
Отправляет манипулированный GET запрос к конечной точке /remote/hostcheck_validate, вызывая переполнение памяти.
После переполнения выполняется подготовленная ROP-цепочка, что позволяет удаленно выполнить команду.

Внимание: Скрипт следует использовать только в авторизованных тестовых или лабораторных средах.

Затронутые версии

Продукт	Версии
FortiOS	7.2.0 – 7.2.5 7.0.0 – 7.0.11 6.4.0 – 6.4.12 6.2.0 – 6.2.14 6.0.0 – 6.0.16
FortiProxy	Соответствующие версии

Установка

Подготовьте окружение Python 3.7+.
Установите необходимые зависимости:

pip3 install -r requirements.txt

Содержимое requirements.txt:
requests
urllib3

Использование

python3 fgt-cve-2023-27997-exploit.py <TARGET_IP> <TARGET_PORT>

Пример:

python3 fgt-cve-2023-27997-exploit.py 192.168.1.200 10443

Аргумент	Описание
`<TARGET_IP>`	IP-адрес целевого FortiGate
`<TARGET_PORT>`	Порт SSL‑VPN (по умолчанию: 443 или 10443)

Пример вывода

[*] Запуск эксплойта ROP Chain Ping для FortiOS 7.0.5 CVE-2023-27997...
[+] Получен salt: 749a2b77
[+] Создан параметр enc (1024 символа)
[!] 500 Internal Server Error - Возможно переполнение памяти или сбой!

Технические детали

Нажмите, чтобы увидеть

Поток уязвимости

/remote/info   --> получение значения salt
/remote/hostcheck_validate?enc=<payload> --> запуск переполнения буфера

Параметр enc шифруется с помощью XOR keystream, генерируемого из комбинации salt + seed.
Ошибка в проверке длины делает возможным переполнение.
После переполнения вступает в действие ROP-цепочка.

ROP-цепочка

Предупреждения

Скрипт должен запускаться только в авторизованных средах.
Несанкционированное использование противозаконно и может привести к сбою целевого устройства.
Версии FortiOS 7.0.5 используют TLS 1.0; в скрипте выполнена соответствующая настройка TLS.

Источники

Lexfo Security Blog – XORtigate: CVE‑2023‑27997
Bishop Fox – Building an Exploit for CVE‑2023‑27997
Fortinet PSIRT Advisory FG‑IR‑23‑097

1	`pop rdi ; ret`	В `RDI` загружается адрес команды
2	`system@plt`	Выполняется команда
–	`0xdeadbeefdeadbeef`	Заполнитель; реальный адрес должен быть определен в лабораторной среде

fgt-cve-2023-27997-exploit

Популярное

Heap Spray