CVE-2018-13383
Fortinet FortiOS and FortiProxy Out-of-bounds Write
Beschreibung
CVE-2018-13383 ist eine Heap-Buffer-Overflow-Schwachstelle (Out-of-bounds Write) in Fortinet FortiOS und FortiProxy, die den SSL VPN-Webdienst betrifft. Die Schwachstelle entsteht durch unsachgemäße Verarbeitung von JavaScript-href-Daten beim Proxying von Webseiten und kann dazu führen, dass der SSL VPN-Webdienst für eingeloggte Benutzer beendet wird. Betroffen sind FortiOS-Versionen 5.2.0 bis 5.2.14, 5.4.0 bis 5.4.12, 5.6.0 bis 5.6.10 und 6.0.0 bis 6.0.4 sowie FortiProxy bis Version 1.2.8 und 2.0.0. CISA hat CVE-2018-13383 in den KEV-Katalog aufgenommen und die Ausnutzung in Ransomware-Kampagnen ist bestätigt. Der EPSS-Score von 1,35 % (79,9. Perzentile) deutet auf eine moderate Ausnutzungswahrscheinlichkeit hin.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:LIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| fortinet | fortiproxy | < 1.2.9; 2.0.0 |
| fortinet | fortios | >= 5.2.0, < 5.2.15; >= 5.4.0, < 5.4.13; >= 5.6.0, < 5.6.11; >= 6.0.0, < 6.0.5 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:L
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H
Referenzen
- https://fortiguard.com/advisory/FG-IR-18-388(Mitigation, Vendor Advisory)
- https://fortiguard.com/advisory/FG-IR-20-229(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2018-13383(US Government Resource)
Schwachstellentyp
CWE-787: Out-of-bounds Write
Out-of-bounds Write ist eine Schwachstelle, die auftritt, wenn Software Daten an einen Speicherort außerhalb der beabsichtigten Grenzen eines Puffers schreibt. Im Fall von CVE-2018-13383 führt die unsachgemäße Verarbeitung von JavaScript-href-Daten im SSL VPN-Webportal von FortiOS und FortiProxy zu einem Heap-Buffer-Overflow, der den VPN-Webdienst zum Absturz bringen kann.
Weitere Informationen: CWE-787 — Out-of-bounds Write
Auswirkungsanalyse
CVE-2018-13383 hat einen CVSS 3.1-Score von 4.3 (MEDIUM) laut Fortinet-Bewertung, während die NVD-Primärbewertung einen Score von 6.5 (MEDIUM) vergibt. Die Schwachstelle ist über das Netzwerk ausnutzbar (Attack Vector: NETWORK) bei geringer Angriffskomplexität (Attack Complexity: LOW). Laut Fortinet-Bewertung ist eine niedrige Authentifizierung erforderlich (Privileges Required: LOW) und keine Benutzerinteraktion notwendig. Die primäre Auswirkung betrifft die Verfügbarkeit, da der Heap-Buffer-Overflow den SSL VPN-Webdienst beenden kann und damit den VPN-Zugang für alle eingeloggten Benutzer unterbricht. Obwohl der CVSS-Score moderat ist, erhöht die bestätigte Ausnutzung in Ransomware-Kampagnen das tatsächliche Risiko erheblich, da der Overflow potenziell auch zur Code-Ausführung missbraucht werden kann.
Exploit-Reifegrad
CVE-2018-13383 wird durch die Aufnahme in den CISA Known Exploited Vulnerabilities-Katalog als aktiv ausgenutzt eingestuft, wobei die Ransomware-Nutzung ausdrücklich als bekannt markiert ist. Der EPSS-Score von 1,35 % (79,9. Perzentile) zeigt eine moderate Ausnutzungswahrscheinlichkeit. CVE-2018-13383 wird häufig in Kombination mit anderen FortiOS-Schwachstellen wie CVE-2018-13379 und CVE-2018-13382 in Angriffsketten ausgenutzt, um zunächst Zugangsdaten zu exfiltrieren, dann Passwörter zu ändern und schließlich den VPN-Dienst zu beeinträchtigen. Bundesbehörden waren verpflichtet, diese Schwachstelle bis zum 2022-07-10 gemäß der verbindlichen CISA-Direktive zu beheben.
Behebung
- Pflichtmaßnahme laut CISA KEV: Apply updates per vendor instructions. Aktualisieren Sie FortiOS und FortiProxy umgehend auf gepatchte Versionen.
- Upgraden Sie FortiOS auf mindestens Version 5.2.15, 5.4.13, 5.6.11 oder 6.0.5 (je nach eingesetztem Release-Branch). FortiProxy muss auf Version 1.2.9 oder höher aktualisiert werden; Version 2.0.0 ist ebenfalls betroffen.
- Falls ein sofortiges Update nicht möglich ist, beschränken Sie die Web-Proxying-Funktionalität des SSL VPN-Portals und blockieren Sie den Zugriff auf potenziell bösartige Webseiten über URL-Filter. Implementieren Sie Netzwerksegmentierung, um die Angriffsoberfläche zu reduzieren.
- Überwachen Sie die Stabilität des SSL VPN-Webdienstes und prüfen Sie Absturz-Logs auf Hinweise auf Ausnutzungsversuche. Untersuchen Sie ungewöhnliche Dienst-Neustarts als potenzielle Indikatoren für eine Kompromittierung.
- Implementieren Sie Eingabevalidierung und Speicherschutzmaßnahmen auf Netzwerkebene (z.B. Web Application Firewall) als zusätzliche Schutzschicht gegen Buffer-Overflow-Angriffe.
Technische Details
CVE-2018-13383 basiert auf einem Out-of-bounds Write (CWE-787) im SSL VPN-Webdienst von Fortinet FortiOS und FortiProxy. Die Schwachstelle wird durch unsachgemäße Verarbeitung von JavaScript-href-Daten ausgelöst, wenn das SSL VPN-Portal Webseiten für angemeldete Benutzer proxied. Dabei werden Daten über die vorgesehenen Puffergrenzen auf dem Heap geschrieben, was zu einer Speicherkorruption führt. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:L zeigt, dass die Schwachstelle netzwerkbasiert ausnutzbar ist und primär die Verfügbarkeit beeinträchtigt. In der Praxis kann ein Heap-Buffer-Overflow jedoch über gezielte Heap-Manipulation auch zur Ausführung beliebigen Codes missbraucht werden, was die tatsächliche Gefährdung über den CVSS-Score hinaus erhöht.
Häufig gestellte Fragen
Wird CVE-2018-13383 aktiv ausgenutzt?
Ja. CVE-2018-13383 ist im CISA Known Exploited Vulnerabilities-Katalog gelistet, was eine aktive Ausnutzung bestätigt. Die Schwachstelle wird zudem in Ransomware-Angriffen eingesetzt. Der EPSS-Score von 1,35 % (79,9. Perzentile) zeigt eine moderate Ausnutzungswahrscheinlichkeit.
Welche Produkte sind von CVE-2018-13383 betroffen?
CVE-2018-13383 betrifft Fortinet FortiOS in den Versionen 5.2.0 bis 5.2.14, 5.4.0 bis 5.4.12, 5.6.0 bis 5.6.10 und 6.0.0 bis 6.0.4 sowie Fortinet FortiProxy in den Versionen bis 1.2.8 und 2.0.0. Betroffen sind alle Systeme mit aktiviertem SSL VPN-Webportal.
Wie behebe ich CVE-2018-13383?
Aktualisieren Sie FortiOS auf mindestens Version 5.2.15, 5.4.13, 5.6.11 oder 6.0.5 und FortiProxy auf Version 1.2.9 oder höher. Falls ein sofortiges Update nicht möglich ist, beschränken Sie die Web-Proxying-Funktionalität und implementieren Sie zusätzliche Netzwerkschutzmaßnahmen.
Wie schwerwiegend ist CVE-2018-13383?
CVE-2018-13383 hat einen CVSS 3.1-Score von 4.3 bis 6.5 (MEDIUM) je nach Bewertungsquelle. Trotz des moderaten Scores ist die bestätigte Ausnutzung in Ransomware-Kampagnen und die Kombinierbarkeit mit anderen FortiOS-Schwachstellen besorgniserregend und erfordert zeitnahe Behebung.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.