CVE-2018-13374
Fortinet FortiOS and FortiADC Improper Access Control Vulnerability
Beschreibung
CVE-2018-13374 ist eine Schwachstelle durch unzureichende Zugriffskontrolle in Fortinet FortiOS und FortiADC, die es Angreifern ermöglicht, LDAP-Server-Anmeldeinformationen zu erhalten, die im FortiGate-Gerät konfiguriert sind. Durch Umleitung einer LDAP-Server-Konnektivitätstestanfrage an einen bösartigen LDAP-Server kann ein Angreifer die gespeicherten Zugangsdaten im Klartext abfangen. Diese Schwachstelle ist besonders bedeutsam, da FortiGate-Geräte als Netzwerksicherheitsinfrastruktur weit verbreitet sind und kompromittierte LDAP-Zugangsdaten laterale Bewegung in Active-Directory-Umgebungen ermöglichen. Die CISA hat CVE-2018-13374 in ihren KEV-Katalog aufgenommen und eine Verbindung zu Ransomware-Kampagnen bestätigt.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:NIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| fortinet | fortiadc | >= 5.4.0, < 5.4.5; >= 6.0.0, < 6.0.2; 6.1.0 |
| fortinet | fortios | < 6.0.3 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N
Referenzen
- https://fortiguard.com/advisory/FG-IR-18-157(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2018-13374(US Government Resource)
Schwachstellentyp
CWE-284: Unzureichende Zugriffskontrolle
CVE-2018-13374 nutzt eine Schwäche in der Zugriffskontrolle von Fortinet FortiOS und FortiADC aus, bei der die LDAP-Server-Konnektivitätstestfunktion nicht ordnungsgemäß einschränkt, wer Testanfragen initiieren oder die Zielserveradresse validieren kann. Dies ermöglicht einem Angreifer, den Konnektivitätstest auf einen vom Angreifer kontrollierten LDAP-Server umzuleiten, wodurch das FortiGate-Gerät die gespeicherten LDAP-Zugangsdaten an ein nicht autorisiertes Ziel übermittelt.
Mehr erfahren: CWE-284 — Unzureichende Zugriffskontrolle
Auswirkungsanalyse
CVE-2018-13374 stellt ein erhebliches Risiko für die Netzwerksicherheit von Unternehmen dar. Die Schwachstelle ermöglicht den Diebstahl von Zugangsdaten aus Fortinet-Sicherheitsgeräten, die typischerweise privilegierte LDAP-Zugangsdaten für die Authentifizierung von VPN-Benutzern, Administratoren und Netzwerkdiensten gegen Active Directory speichern. Kompromittierte LDAP-Zugangsdaten können für unbefugten Zugriff auf Verzeichnisdienste genutzt werden, was die Aufzählung von Benutzern und Gruppen, Password-Spraying-Angriffe und laterale Bewegung in der gesamten Unternehmensumgebung ermöglicht. Die bestätigte Verbindung zu Ransomware-Kampagnen verstärkt die geschäftlichen Auswirkungen erheblich, da gestohlene LDAP-Zugangsdaten den Angreifern das Authentifizierungsmaterial bieten, das zur Verbreitung von Ransomware über domänenverbundene Systeme benötigt wird.
Exploit-Reifegrad
Die CISA hat die aktive Ausnutzung von CVE-2018-13374 bestätigt und die Schwachstelle ausdrücklich als in Ransomware-Kampagnen verwendet gekennzeichnet. Der EPSS-Score von 1,59 % (81. Perzentil) spiegelt eine moderate Ausnutzungswahrscheinlichkeit wider, wobei die Schwachstelle in gezielten Angriffen statt in breiten automatisierten Scan-Kampagnen ausgenutzt wird. Die Angriffstechnik der Umleitung von LDAP-Konnektivitätstests an bösartige Server ist gut verstanden und erfordert keine ausgefeilten Werkzeuge. Die Kombination aus Credential-Diebstahl-Fähigkeit und Ransomware-Verbindung macht dies zu einem vorrangigen Behebungsziel.
Behebung
- Fortinet-Sicherheitsupdates anwenden: Gemäß der CISA-KEV-Vorgabe Updates gemäß Herstelleranweisungen installieren, wie in Fortinet-Advisory FG-IR-18-157 dokumentiert. FortiOS und FortiADC auf die im Advisory angegebenen gepatchten Versionen aktualisieren.
- LDAP-Zugangsdaten sofort rotieren: Nach dem Patching alle auf FortiGate-Geräten konfigurierten LDAP-Dienstkonto-Passwörter ändern, da diese möglicherweise bereits kompromittiert wurden. Zugangsdaten sowohl im Active Directory als auch in der FortiGate-Konfiguration aktualisieren.
- Management-Interface-Zugriff einschränken: Sicherstellen, dass FortiGate-Verwaltungsoberflächen nicht von nicht vertrauenswürdigen Netzwerken aus erreichbar sind. Strikte IP-basierte Zugriffskontrollen für den administrativen Zugang implementieren.
- Active Directory auf anomale Authentifizierung überwachen: AD-Authentifizierungsprotokolle auf verdächtige Anmeldeversuche mit den auf FortiGate konfigurierten LDAP-Dienstkonten überprüfen, insbesondere von unerwarteten Quell-IP-Adressen.
- LDAP Channel Binding und Signing implementieren: LDAP Channel Binding und LDAP Signing auf Active-Directory-Domänencontrollern konfigurieren, um das Risiko des Abfangens von Zugangsdaten bei der LDAP-Authentifizierung zu mindern.
Technische Details
CVE-2018-13374 ist eine Schwachstelle durch unzureichende Zugriffskontrolle in der LDAP-Server-Konnektivitätstestfunktion von Fortinet FortiOS und FortiADC. Die FortiGate-Verwaltungsoberfläche bietet eine Funktion zum Testen der Konnektivität zu konfigurierten LDAP-Servern, die die gespeicherten LDAP-Bind-Zugangsdaten an den angegebenen Server sendet, um die Authentifizierung zu überprüfen. Die Schwachstelle besteht darin, dass diese Funktionalität die Zielserveradresse nicht ausreichend validiert, wodurch ein Angreifer mit Zugriff auf die Verwaltungsoberfläche das Testziel auf einen vom Angreifer kontrollierten LDAP-Server umleiten kann. Bei der Ausführung des Konnektivitätstests übermittelt das FortiGate-Gerät den gespeicherten LDAP-Bind-DN (Distinguished Name) und das Passwort im Klartext an den bösartigen Server. Dies ist besonders kritisch, da FortiGate-Geräte typischerweise privilegierte Dienstkonto-Zugangsdaten für die LDAP-basierte Authentifizierung speichern.
Häufig gestellte Fragen
Wird CVE-2018-13374 aktiv ausgenutzt?
Ja. Die CISA hat CVE-2018-13374 in ihren KEV-Katalog aufgenommen und damit die aktive Ausnutzung bestätigt. Die Schwachstelle wurde spezifisch mit Ransomware-Kampagnen in Verbindung gebracht, bei denen gestohlene LDAP-Zugangsdaten zur Ermöglichung lateraler Bewegung und Ransomware-Verbreitung in Unternehmensnetzwerken verwendet werden.
Welche Produkte sind von CVE-2018-13374 betroffen?
CVE-2018-13374 betrifft Fortinet FortiOS und FortiADC. Die Schwachstelle ist in Versionen dieser Produkte vor den in Fortinet-Advisory FG-IR-18-157 dokumentierten Patches vorhanden. Organisationen, die FortiGate-Geräte mit konfigurierter LDAP-Authentifizierung verwenden, sind gefährdet.
Wie behebe ich CVE-2018-13374?
Wenden Sie die im Fortinet-Advisory FG-IR-18-157 dokumentierten Sicherheitsupdates an. Nach dem Patching alle LDAP-Dienstkonto-Zugangsdaten, die auf dem FortiGate-Gerät konfiguriert sind, sofort rotieren. Zusätzlich den Management-Interface-Zugriff auf vertrauenswürdige Netzwerke beschränken.
Wie schwerwiegend ist CVE-2018-13374?
CVE-2018-13374 ist eine bedeutende Credential-Diebstahl-Schwachstelle mit bestätigter Verwendung in Ransomware-Kampagnen. Der EPSS-Score von 1,59 % (81. Perzentil) spiegelt eine moderate Ausnutzungswahrscheinlichkeit wider. Obwohl die Schwachstelle selbst die Offenlegung von Zugangsdaten und nicht direkte Codeausführung ermöglicht, bieten die gestohlenen LDAP-Zugangsdaten Angreifern mächtiges Authentifizierungsmaterial für laterale Bewegung.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.