CVE-2018-13379
Fortinet FortiOS SSL VPN Path Traversal Vulnerability
Beschreibung
CVE-2018-13379 ist eine kritische Path-Traversal-Schwachstelle in Fortinet FortiOS und FortiProxy SSL VPN mit einem CVSS-3.1-Score von 9.1. Eine unsachgemäße Begrenzung eines Pfadnamens auf ein eingeschränktes Verzeichnis im SSL-VPN-Webportal ermöglicht es einem nicht authentifizierten Angreifer, Systemdateien über speziell gestaltete HTTP-Anfragen herunterzuladen. Betroffene Versionen umfassen FortiOS 6.0.0 bis 6.0.4, 5.6.3 bis 5.6.7, 5.4.6 bis 5.4.12 sowie FortiProxy 2.0.0, 1.2.0 bis 1.2.8, 1.1.0 bis 1.1.6, 1.0.0 bis 1.0.7. Diese CVE ist im CISA Known Exploited Vulnerabilities (KEV) Katalog gelistet mit einer Behebungsfrist bis zum 2022-05-03. Mit einem EPSS-Score von 0.94475 (99,998. Perzentile) gehört diese Schwachstelle zu den am häufigsten ausgenutzten überhaupt und wurde extensiv von Ransomware-Gruppen und staatlichen Akteuren eingesetzt.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| fortinet | fortiproxy | < 1.2.9; 2.0.0 |
| fortinet | fortios | >= 5.4.6, < 5.4.13; >= 5.6.3, < 5.6.8; >= 6.0.0, < 6.0.5 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://fortiguard.com/advisory/FG-IR-18-384(Mitigation, Vendor Advisory)
- https://www.fortiguard.com/psirt/FG-IR-20-233(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2018-13379(US Government Resource)
Schwachstellentyp
CWE-22: Unsachgemäße Begrenzung eines Pfadnamens auf ein eingeschränktes Verzeichnis (Path Traversal)
CVE-2018-13379 wird unter CWE-22 klassifiziert — Unsachgemäße Begrenzung eines Pfadnamens auf ein eingeschränktes Verzeichnis (Path Traversal). Path Traversal tritt auf, wenn Software externe Eingaben verwendet, um einen Pfadnamen zu konstruieren, der eine Datei oder ein Verzeichnis unterhalb eines eingeschränkten übergeordneten Verzeichnisses identifizieren soll, aber spezielle Elemente wie ".." und "/" nicht ordnungsgemäß neutralisiert, die dazu führen können, dass der Pfadname zu einem Ort außerhalb des eingeschränkten Verzeichnisses aufgelöst wird.
Im Kontext von FortiOS SSL VPN ist diese Schwachstelle besonders verheerend, da der verwundbare Endpunkt Sitzungsdateien mit Klartext-Zugangsdaten offenlegt. Angreifer können VPN-Benutzernamen und -Passwörter ohne jegliche Authentifizierung abgreifen und so direkten Zugang zu Unternehmensnetzwerken erlangen. Diese Schwachstelle war eine der am weitesten verbreiteten VPN-Sicherheitslücken der letzten Jahre, mit geleakten Zugangsdaten-Dumps von Hunderttausenden kompromittierten FortiGate-Geräten.
Mehr erfahren: CWE-22 — Unsachgemäße Begrenzung eines Pfadnamens auf ein eingeschränktes Verzeichnis
Auswirkungsanalyse
CVE-2018-13379 hat einen CVSS-3.1-Score von 9.1 (KRITISCH) mit Unchanged Scope.
Vertraulichkeit (HIGH): Erfolgreiche Ausnutzung ermöglicht nicht authentifizierten Angreifern den Download sensibler Systemdateien vom FortiOS SSL VPN Webportal. Besonders kritisch ist der Zugriff auf Sitzungsdateien, die Klartext-VPN-Zugangsdaten enthalten und Benutzernamen sowie Passwörter aller verbundenen Nutzer offenlegen.
Integrität (NONE): Die Schwachstelle selbst ermöglicht keine direkte Modifikation von Daten auf dem Zielsystem. Die gestohlenen Zugangsdaten ermöglichen jedoch Folgeangriffe, die die Integrität gefährden.
Verfügbarkeit (HIGH): Obwohl die Path Traversal selbst keinen direkten Denial-of-Service verursacht, können Massenausnutzung und Zugangsdatendiebstahl zu nachgelagerten Angriffen führen, die die Verfügbarkeit von über das kompromittierte VPN erreichbaren Unternehmensnetzwerken schwer beeinträchtigen.
Mit einem EPSS-Score von 0.94475 (99,998. Perzentile) ist dies eine der am aktivsten ausgenutzten Schwachstellen überhaupt, mit bestätigter Verwendung durch APT-Gruppen, Ransomware-Betreiber und Commodity-Bedrohungsakteure weltweit.
Exploit-Reifegrad
Exploit-Status: CVE-2018-13379 hat umfassende bestätigte Ausnutzung in der Praxis und ist eine der am weitesten verbreiteten VPN-Schwachstellen der jüngeren Cybersicherheitsgeschichte. Mehrere öffentliche Exploit-Module sind verfügbar, einschließlich Metasploit-Module und eigenständiger Proof-of-Concept-Skripte. Im November 2020 veröffentlichte ein Bedrohungsakteur eine Liste von etwa 50.000 verwundbaren FortiGate-VPN-Geräten, und im September 2021 wurde ein Leak von fast 500.000 FortiGate-VPN-Zugangsdaten in einem Darknet-Forum veröffentlicht.
Ransomware-Bezug: Diese Schwachstelle hat bestätigten Zusammenhang mit Ransomware-Kampagnen. Mehrere Ransomware-Gruppen, darunter Conti und LockBit, haben gestohlene FortiOS-VPN-Zugangsdaten als initialen Zugangvektor für die Verteilung von Ransomware in Unternehmensnetzwerken genutzt.
Angriffsfläche: Die Schwachstelle betrifft internetexponierte SSL-VPN-Portale und ist daher trivial über Massen-Scanning auffindbar. Der Exploit benötigt nur eine einzige HTTP-Anfrage und ist daher extrem einfach in großem Maßstab einsetzbar.
KEV-Frist: Die CISA-Behebungsfrist war der 2022-05-03. Angesichts der extremen Ausnutzungsaktivität ist eine sofortige Behebung für alle Organisationen kritisch.
Behebung
- FortiOS und FortiProxy umgehend aktualisieren. Aktualisieren Sie auf FortiOS 6.0.5 oder höher, 5.6.8 oder höher, oder 5.4.13 oder höher. Aktualisieren Sie FortiProxy auf 2.0.1 oder höher, 1.2.9 oder höher, 1.1.7 oder höher, oder 1.0.8 oder höher. Konsultieren Sie das Fortinet PSIRT Advisory FG-IR-18-384 für vollständige Versionshinweise.
- Alle VPN-Benutzer-Zugangsdaten nach dem Patching zurücksetzen. Da diese Schwachstelle Klartext-Zugangsdaten offenlegt, gehen Sie davon aus, dass alle VPN-Benutzerpasswörter kompromittiert wurden. Erzwingen Sie einen Passwort-Reset für alle SSL-VPN-Benutzer und invalidieren Sie alle aktiven Sitzungen.
- Multi-Faktor-Authentifizierung (MFA) für VPN-Zugang aktivieren. Implementieren Sie MFA auf allen FortiGate SSL VPN Portalen, um die Auswirkungen zuvor gestohlener Zugangsdaten zu mitigieren.
- VPN-Zugriffsprotokolle auf verdächtige Aktivitäten prüfen. Überprüfen Sie Protokolle auf ungewöhnliche Anmeldemuster, Zugriffe von unerwarteten geografischen Standorten oder Verbindungen von bekannten bösartigen IP-Adressen.
- Auf Kompromittierungsindikatoren scannen. Angesichts der weitverbreiteten Ausnutzung suchen Sie nach Anzeichen für laterale Bewegung, Persistenzmechanismen und Ransomware-Vorstufen-Aktivitäten auf Systemen, die über das VPN erreichbar sind.
- Netzwerksegmentierung implementieren. Stellen Sie sicher, dass VPN-verbundene Benutzer nur Zugriff auf notwendige Ressourcen haben, um den Schadensradius bei einer erneuten Kompromittierung zu begrenzen.
Technische Details
Angriffsvektor: NETWORK
Angriffskomplexität: Niedrig
Erforderliche Rechte: Keine
Benutzerinteraktion: Keine
Technischer Ablauf: CVE-2018-13379 ist eine kritische Path-Traversal-Schwachstelle im Fortinet FortiOS SSL VPN Webportal, die ohne jegliche Authentifizierung oder Benutzerinteraktion remote ausgenutzt werden kann. Das SSL-VPN-Webportal sanitisiert den Sprachparameter in HTTP-Anfragen nicht ordnungsgemäß. Durch eine speziell gestaltete Anfrage an den Endpunkt /remote/fgt_lang?lang=/../../../..//////////dev/cmdb/sslvpn_websession kann ein Angreifer aus dem vorgesehenen Verzeichnis ausbrechen und die VPN-Sitzungsdatei lesen. Diese Datei enthält Klartext-Benutzernamen und -Passwörter der aktuell verbundenen VPN-Benutzer.
Schwachstellenmechanismus: Die Schwachstelle existiert, weil der Webserver nicht validiert, dass der aufgelöste Dateipfad innerhalb des vorgesehenen Verzeichnisses verbleibt. Die fehlende Eingabevalidierung ermöglicht das Traversieren von Verzeichnisstrukturen mittels "../"-Sequenzen.
Betroffene Versionen: FortiOS 6.0.0-6.0.4, 5.6.3-5.6.7, 5.4.6-5.4.12 sowie FortiProxy 2.0.0, 1.2.0-1.2.8, 1.1.0-1.1.6, 1.0.0-1.0.7.
CVSS-3.1-Bewertung: Der Score von 9.1 (KRITISCH) reflektiert den netzwerkbasierten Angriffsvektor ohne Authentifizierung oder Benutzerinteraktion, mit hoher Vertraulichkeits- und Verfügbarkeitsauswirkung.
Häufig gestellte Fragen
Wird CVE-2018-13379 aktiv ausgenutzt?
Ja, CVE-2018-13379 ist eine der am aktivsten ausgenutzten Schwachstellen der jüngeren Geschichte. Sie wurde von staatlichen Akteuren, Ransomware-Gruppen und Commodity-Bedrohungsakteuren eingesetzt. Im Jahr 2021 wurden etwa 500.000 FortiGate-VPN-Zugangsdaten in einem Darknet-Forum veröffentlicht, die alle über diese Schwachstelle erbeutet wurden. Der EPSS-Score von 0.94475 (99,998. Perzentile) spiegelt die extreme Ausnutzungsaktivität wider.
Welche Produkte sind von CVE-2018-13379 betroffen?
Betroffen sind FortiOS-Versionen 6.0.0 bis 6.0.4, 5.6.3 bis 5.6.7 und 5.4.6 bis 5.4.12 sowie FortiProxy-Versionen 2.0.0, 1.2.0 bis 1.2.8, 1.1.0 bis 1.1.6 und 1.0.0 bis 1.0.7. Organisationen, die FortiGate SSL VPN mit diesen Versionen nutzen, sollten davon ausgehen, dass Zugangsdaten kompromittiert wurden.
Wie behebe ich CVE-2018-13379?
Aktualisieren Sie FortiOS auf Version 6.0.5+, 5.6.8+ oder 5.4.13+ und FortiProxy auf die neueste gepatchte Version. Setzen Sie nach dem Patching sofort alle VPN-Benutzerpasswörter zurück und aktivieren Sie Multi-Faktor-Authentifizierung. Überprüfen Sie VPN-Protokolle auf unautorisierten Zugriff und scannen Sie auf Kompromittierungsindikatoren.
Wie schwerwiegend ist CVE-2018-13379?
CVE-2018-13379 ist mit einem CVSS-Score von 9.1 als KRITISCH eingestuft und hat einen EPSS-Score in der 99,998. Perzentile. Die Schwachstelle hat bestätigten Ransomware-Bezug, wurde in massiven Zugangsdatendiebstahl-Kampagnen eingesetzt und bleibt eine der am häufigsten ausgenutzten Schwachstellen im CISA-Katalog. Eine sofortige Behebung ist essenziell.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.