Black HatでのFortigate SSL VPN破りの記事

・ハッカーは、広く使用されている2つのVPNからパスワードを積極的に盗もうとしています (08/24)

https://translate.google.com/translate?hl=ja&sl=en&u=https://arstechnica.com/information-technology/2019/08/hackers-are-actively-trying-to-steal-passwords-from-two-widely-used-vpns/

『パッチを適用していないサーバーに特別な文字列を含むWebリクエストを送信することで脆弱性を悪用できる・・・認証前のファイル読み取りの脆弱性は、約480,000台のサーバーにインストールされたFortigate SSL VPNと、約50,000台のマシンにインストールされた競合のPulse Secure SSL VPNに存在・・・

Devcoreの研究者は、両方の製品に他の重大な脆弱性を発見・・・攻撃者はとりわけ、悪意のあるコードをリモートで実行し、パスワードを変更することができます。

この脆弱性は、インターネットにアクセスする必要があり、組織のネットワークの非常に機密性の高い部分へのゲートウェイとして機能するソフトウェアに影響を与えるため、深刻です。 ハッシュ化された、場合によってはプレーンテキストのパスワード、暗号化キー、およびその他の機密データを取得すると、人々がそれらのネットワークに侵入する可能性があります。 より多くの作業を行うと、パッチ未適用のサーバーを特定する攻撃者は、Devcoreの研究者が発見した他の脆弱性も悪用する可能性があります。 Fortigateの1つの欠陥は、 「The Magic Backdoor」と呼ばれ、ハードコードされたキーを知っているリモートの攻撃者がパスワードを変更できるようにします。

フォーティネットとPulse Secureの両方の代表は、企業はできるだけ早くシステムにパッチを適用するよう顧客に何ヶ月も促していると述べた・・・これらのVPNのいずれかを使用している組織は、脆弱性がないことを確認するために今すぐ時間をかける必要があります。』

・SSL VPNを攻撃する-パート2：Fortigate SSL VPNを破る

https://translate.googleusercontent.com/translate_c?depth=1&hl=ja&rurl=translate.google.com&sl=en&sp=nmt4&u=https://devco.re/blog/2019/08/09/attacking-ssl-vpn-part-2-breaking-the-Fortigate-ssl-vpn/&xid=17259,15700002,15700021,15700186,15700190,15700256,15700259,15700262,15700265&usg=ALkJrhjNfsQgONsEUrtxhdyG3sFG2Yp9oQ

当該システムのWebサーバについては『WebサーバーがApacheから変更されたことがわかりましたが、それは2002年のApacheです』なので問題山積と想像できる。

アタックベクターを絞っていくための候補:
　・CVE-2018-13379 ：認証前の任意のファイル読取
　・CVE-2018-13380 ：認証前のXSS
　・CVE-2018-13381 ：認証前のヒープオーバーフロー
　・CVE-2018-13382 ：マジックバックドア
　・CVE-2018-13383 ：認証後のヒープオーバーフロー

この中から、CVE-2018-13381で攻めるも立ち往生。CVE-2018-13379 + CVE-2018-13383に軌道変更して成功するまでの紹介記事。

YouTubeでのデモも見られる。 

CVE-2018-13379については、fortigate migadmin/lang json で検索して出てくる、
https://www.google.com/url?sa=t&rct=j&q=&esrc=s&source=web&cd=13&cad=rja&uact=8&ved=2ahUKEwi_tdXHkJ7kAhV1yIsBHUtSDTQ4ChAWMAJ6BAgFEAE&url=https%3A%2F%2Fhackmd.io%2F%40HITCON%2F2019-cmt-note&usg=AOvVaw2kcUPdDsZ_BFIVrZDMeVGIとか、CVE-2018-13379　のexp.py も気になってる