FortiWeb (WAF od Fortinet) z krytyczną luką OS Command Injection – można wykonywać dowolne polecenia systemowe jako root

Na wstępie mamy dla Was dobrą wiadomość – luka wymaga od atakującego uprzedniego uwierzytelnienia:

Luka w interfejsie zarządzania FortiWeb (wersja 6.3.11 i wcześniejsze) umożliwia atakującemu wykonanie dowolnych poleceń systemowych jako root. Za całe zamieszanie odpowiedzialny jest następujący fragment kodu:

int move_metafile(char *path,char *name)
{
int iVar1;
char buf [512];
int nret;
snprintf(buf,0x200,”%s/%s”,”/data/etc/saml/shibboleth/service_providers”,name);
iVar1 = access(buf,0);
if (iVar1 != 0) {
snprintf(buf,0x200,”mkdir %s/%s”,”/data/etc/saml/shibboleth/service_providers”,name);
iVar1 = system(buf);
if (iVar1 != 0) {
return iVar1;
}
}
snprintf(buf,0x200,”cp %s %s/%s/%s.%s”,path,”/data/etc/saml/shibboleth/service_providers”,name,
„Metadata”,&DAT_00212758);
iVar1 = system(buf);
return iVar1;
}

Aby wykorzystać tę lukę, atakujący musiał wysłać żądanie POST, w którym wartość pola “name” to przemycone za pomocą backticków polecenie:

Poprawka dla tej podatności pojawi się dopiero w wersji 6.4.1 FortiWeb, która zostanie wydana pod koniec tego miesiąca. 

~ Jakub Bielaszewski