FortiClient本地提权0day漏洞分析

 

一、前言

我们在FortiClient中找到了3个漏洞，低权限用户可以组合利用这3个漏洞提升至NT AUTHORITY/SYSTEM权限。我们尝试与Fortinet沟通，共同解决这些问题，但对方在长达8个多月时间内没有回复我们，并且在没有通知任何人的情况下公布了一个比较糟糕的补丁。

注意：FortiClient <= 6.0.3.0155以及低于5.7的版本也会受漏洞影响，更低版本可能也存在漏洞。

 

二、漏洞描述

我们滥用了FortiClient的命名管道（named pipes）来强制更新，可以触发漏洞扫描操作，然后强制FortiClient更新并不在目标主机上的软件。结合目录遍历漏洞和命令执行漏洞后，我们就可以获得NT AUTHORITY/SYSTEM权限。

 

三、漏洞分析

命名管道写入漏洞

我们可以使用ioninja监控forticlient在命名管道中的通信数据。在我的测试系统中，该命名管道为FC_{F18F86FD-7503-4564-80CF-B6B199519837}。

我们尝试在所有用户可用的UI中各种点击，很快就看到了一个有趣的数据包。程序使用这种方法来告诉调度程序（scheduler）执行按需扫描。这里比较奇怪的是我们可以在数据包中指定具体路径及命令行参数。

逆向分析该协议后，我伪造了一个数据包：

我发现包头的60 80为命令的魔术字节（magic byte），并且十六进制18（第9个字节）代表apptype。在PoC中，我们滥用的正是apptype，将其指定为0x18（代表FCVbltScan.exe）。

FCDBLog.exe这个进程会读取命名管道中的信息，然后更新HKLM\SOFTWARE\Fortinet\FortiClient\FA_Scheduler\000020注册表项。该进程只是简单读取相关信息，然后将其写入param键值中（如果我们修改apptype/第9个字节，我们就可以在FA_Scheduler中写入其他服务信息）。

如上图所示，我们可以写入-t 1 -p c:\users\lowpriv\Desktop\lasla\evil.tmp -u字符串，触发目标开始安装在evil.tmp中发现的所有漏洞补丁。

完成如上步骤后，scheduler.exe（系统权限）进程就会读取相关键值，以系统权限启动服务。

因此这里的问题是我们可以指定自定义的XML文件（如evil.tmp），程序会从其中读取当前系统存在的漏洞信息。

路径遍历漏洞

注意，这里之所以涉及到vcm2.exe，是因为该程序由FCVbltScan.exe所启动。

第二个问题在于程序对-p参数所指定的文件的解析过程。该文件内容与FortiClient漏洞扫描器的处理结果有关。FortiClient会读取这个json文件，根据每个Install元素中VID键的值来判断系统需要安装哪些补丁（我们构造的json文件如下图所示）。

通常情况下，这个VID值为20440或者其他相关值，这是一个整数值字段。然后vcm2.exe会查找扫描目录中以VID为名称的.json文件。

然而我们发现，我们可以在VID中实现路径遍历，将其指向我们能够控制的某个路径。这意味着我们可以提供漏洞安装文件的配置信息。

如下图所示，我们将该字段指向\users\IEUser\Desktop\lasla\vuln，而vcm2.exe现在会搜索该目录中的vuln.json文件，获取安装信息。

因此我们现在可以精确控制哪些补丁需要安装到当前系统中。

LUA补丁脚本中的命令注入漏洞

以上漏洞引导我们发现第3个，也是最后一个漏洞：LUA中的命令注入漏洞。

evil.tmp中的vulnjson实际上是安装文件的配置信息。我们对比了合法的文件，并做了相应修改。该文件用来指定哪些目标需要修补。

FortiClient的所有lua脚本都存放在名为flat-db.dat的一个文件中，这是一个SQLITE文件，因此数据库表中包含与脚本匹配的VID，用来指定待执行的脚本。

vcm2.exe的功能是从FortiClient目录的flat-db.dat中读取相关LUA脚本，然后执行与我们指定的VID匹配的脚本。

vuln.json文件内容如下：

然而这里我们可以将DetectedProducts字段中的某些参数传递给lua脚本。在DetectedProducts键中，我们指定了Product、Product Path以及Detected Version字段的值。我们使用LUA脚本来给Mozilla产品打上补丁，并且我们发现了如下几行代码：

如上所示，filepath = arg[2]这个参数会一路传递给GetLanguage函数。

GetLanguage函数如下所示：

在第50行我们看到脚本首先将我们提供的setupPath放入cmd参数中，然后在52行，脚本会直接执行相关命令，没有检查是我们是否使用了不被允许的字符。因此如果我们回头看vuln.json文件，可以看到我们的Product Path字段值为c:\tes"&calc&"tingfire\firefox.exe，这样就可以将calc命令注入os.capture中。

现在我们已经得到以system权限运行的calc，也可以将其替换为其他命令或者其他程序。

 

四、补丁说明

快速逆向分析补丁后，我发现厂商在product以及detected_version字段上做了assert处理。

此外，厂商还使用os.rename函数来确保目标文件的确存在，并且由于文件名不能包含特殊转移字符，因此一切看起来都还不错。

 

五、绕过补丁

稍等片刻，让我们回头看补丁的第227行。厂商难道只是判断product必须为字符串？这并不是命令执行的关键，因此当然无法正确防御这类攻击。由于字符串中我们可以使用所有字符，现在我们可以grep查找产品中使用os.execute的地方，充分发挥字符串的威力。

找到目标，如下所示：

修改版的vuln.json如下所示：

攻击结果非常完美，如下所示：

 

六、总结

作为厂商，当有人提交漏洞信息时请认真对待，让对方测试厂商发布的补丁。许多人热衷于黑掉软件，因此会花大量时间免费挖掘软件脆弱性，那么厂商为什么不利用这一点，让大牛们提升软件安全性呢？

 

七、时间线

• 02-04-2018 – 报告漏洞信息
• 07-04-2018 – 厂商确认我们提供的邮件准确，发送邮件后我们只需等待他们通知，会在漏洞披露过程中提醒我们，并且在官网上公开致谢
• 15-04-2018 – 厂商确认收到漏洞报告
• 25-04-2018 – 确认漏洞，分配了3个CVE编号：CVE-2018-9191、CVE-2018-9192以及CVE-2018-9193（现在这些编号已分配给其他漏洞，我们不清楚目前对应的CVE编号）
• 11-05-2018 -> 31-06-2018 – 日常咨询进展
• 11-05-2018 -> 31-06-2018 Regular ping for news
• 01-08-2018 – 厂商通知已分配到新的漏洞处理事宜
• 22-11-2018 – 告知Fortinet我们尚未收到任何解决方案更新信息，我们准备发表研究文章
• 19-12-2018 – 我们发现Fortinet尝试修复漏洞，然后逆向分析了补丁，通知对方我们已发表研究文章
• 21-12-2018 – 安排针对Windows平台6.0.5/6.2版的修复计划，目前正在编写完整版安全公告