CVE-2019-5591
Fortinet FortiOS Default Configuration Vulnerability
Beschreibung
CVE-2019-5591 ist eine MITTLERE Standardkonfigurations-Schwachstelle in Fortinet FortiOS mit einem CVSS-3.1-Score von 6.5. Die Schwachstelle ermöglicht es einem nicht authentifizierten Angreifer im selben Subnetz, sensible Informationen abzufangen, indem er den LDAP-Server (Lightweight Directory Access Protocol) imitiert. Betroffen sind Fortinet FortiOS-Versionen bis einschließlich 6.2.0. Diese CVE ist im CISA KEV-Katalog gelistet mit einer Behebungsfrist bis zum 2022-05-03. Der EPSS-Score von 0.48360 (97,69. Perzentile) belegt eine signifikante reale Ausnutzungswahrscheinlichkeit.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:NIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| fortinet | fortios | <= 6.2.0 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Referenzen
- https://www.fortiguard.com/psirt/FG-IR-19-037(Mitigation, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2019-5591(US Government Resource)
Schwachstellentyp
CWE-306: Fehlende Authentifizierung für kritische Funktion
CVE-2019-5591 wird unter CWE-306 klassifiziert — Fehlende Authentifizierung für kritische Funktion. Diese Schwachstelle tritt auf, wenn ein Produkt keine Authentifizierung für Funktionalitäten durchführt, die eine nachweisbare Benutzeridentität erfordern. Ohne ordnungsgemäße Authentifizierungsmechanismen werden kritische Funktionen für unbefugte Akteure zugänglich.
Im Kontext von Fortinet FortiOS manifestiert sich die fehlende Authentifizierung als Standardkonfiguration, die die Identität des LDAP-Servers beim Verbindungsaufbau nicht verifiziert. Dies ermöglicht es einem Angreifer im selben Netzwerk-Subnetz, einen gefälschten LDAP-Server aufzusetzen und Authentifizierungstraffic abzufangen, einschließlich Benutzeranmeldedaten und Verzeichnisinformationen. Das Standardkonfigurations-Vertrauensmodell geht davon aus, dass Netzwerkisolation ausreichende Sicherheit bietet, aber adjacenter Netzwerkzugriff bricht diese Annahme.
Mehr erfahren: CWE-306 — Fehlende Authentifizierung für kritische Funktion
Auswirkungsanalyse
Vertraulichkeit (HIGH): Erfolgreiche Ausnutzung ermöglicht es einem Angreifer, den gesamten LDAP-Traffic zwischen dem FortiOS-Gerät und dem legitimen LDAP-Server abzufangen, einschließlich Benutzeranmeldedaten, Authentifizierungstokens und Verzeichnisabfragen. Dies kann die Anmeldedaten aller Benutzer offenlegen, die sich über das FortiOS-Gerät authentifizieren.
Integrität (NONE): Die Schwachstelle ermöglicht nicht direkt die Modifikation von Daten oder Systemkonfigurationen. Der Angriff konzentriert sich auf das Abfangen statt auf die Manipulation von Informationen.
Verfügbarkeit (NONE): Die Schwachstelle beeinträchtigt nicht direkt die Verfügbarkeit des FortiOS-Geräts oder seiner Dienste. Der legitime LDAP-Authentifizierungsfluss kann weiterhin funktionieren, während Anmeldedaten abgefangen werden.
Mit einem EPSS-Score von 0.48360 (97,69. Perzentile) hat diese Schwachstelle eine signifikante Ausnutzungswahrscheinlichkeit, insbesondere in Kombination mit anderen Fortinet-Schwachstellen.
Exploit-Reifegrad
Exploit-Status: CVE-2019-5591 wurde in der Praxis ausgenutzt, insbesondere in Kombination mit anderen Fortinet-Schwachstellen wie CVE-2018-13379 und CVE-2020-12812, um umfassende Angriffsketten gegen FortiOS-Deployments zu bilden. Die Schwachstelle ist im CISA KEV-Katalog gelistet. Der EPSS-Score von 0.48360 (97,69. Perzentile) reflektiert signifikante Ausnutzungsaktivität.
Ransomware-Bezug: Für CVE-2019-5591 wurde kein direkter Ransomware-Zusammenhang bestätigt. Ihre Verwendung in Kombination mit anderen Fortinet-Schwachstellen, die Ransomware-Verbindungen haben, macht sie jedoch zu einer Komponente breiterer Bedrohungskampagnen.
Angriffsfläche: Die Ausnutzung erfordert, dass der Angreifer sich im selben Subnetz wie das FortiOS-Gerät befindet, was die Angriffsfläche gegenüber remote ausnutzbaren Schwachstellen einschränkt. In Umgebungen mit unzureichender Netzwerksegmentierung kann diese Anforderung jedoch leicht erfüllt werden.
KEV-Frist: Die CISA-Behebungsfrist war der 2022-05-03.
Behebung
- Hersteller-Updates und Konfigurationsänderungen anwenden. Wenden Sie Updates gemäß den Anweisungen des Herstellers an. Konsultieren Sie das Fortinet-Advisory unter fortiguard.com/psirt/FG-IR-19-037. Aktualisieren Sie FortiOS über Version 6.2.0 hinaus.
- LDAP-Server-Identitätsverifikation konfigurieren. Konfigurieren Sie FortiOS explizit zur Verifizierung der LDAP-Server-Identität mittels zertifikatsbasierter Authentifizierung (LDAPS). Verlassen Sie sich nicht auf die Standardkonfiguration.
- Netzwerksegmentierung implementieren. Stellen Sie sicher, dass die FortiOS-Management- und LDAP-Kommunikation auf isolierten, gesicherten Netzwerksegmenten stattfindet.
- LDAP über TLS/SSL aktivieren. Konfigurieren Sie LDAPS (LDAP über SSL) zur Verschlüsselung der LDAP-Kommunikation und Authentifizierung des LDAP-Servers mittels Zertifikaten.
- LDAP-Anomalien überwachen. Implementieren Sie Monitoring für unerwartete LDAP-Server-Antworten, Zertifikatsänderungen oder verdächtige ARP-Aktivitäten auf Management-Netzwerksegmenten.
- Alle FortiOS-Konfigurationen auditieren. Überprüfen Sie Standardkonfigurationen aller FortiOS-Deployments, um weitere potenzielle Schwachstellen in Standardkonfigurationen zu identifizieren und zu beheben.
Technische Details
Angriffsvektor: ADJACENT_NETWORK
Angriffskomplexität: Niedrig
Erforderliche Rechte: Keine
Benutzerinteraktion: Keine
Technischer Ablauf: Die Schwachstelle befindet sich in der Standard-LDAP-Konfiguration von FortiOS, die die Identität des LDAP-Servers beim Verbindungsaufbau nicht verifiziert. Wenn FortiOS eine LDAP-Verbindung zur Benutzerauthentifizierung initiiert, validiert es standardmäßig nicht das Zertifikat oder die Identität des Servers. Ein Angreifer im selben Subnetz kann dies ausnutzen, indem er einen gefälschten LDAP-Server aufsetzt und Techniken wie ARP-Spoofing oder DNS-Manipulation verwendet, um die LDAP-Anfragen des FortiOS-Geräts auf seinen bösartigen Server umzuleiten.
Betroffene Produkte: Fortinet FortiOS bis einschließlich Version 6.2.0.
CVSS-3.1-Bewertung: Der Score von 6.5 (MITTEL) mit dem Vektor AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N reflektiert den adjacenten Netzwerk-Angriffsvektor bei hohem Vertraulichkeitsimpact, aber ohne Integritäts- oder Verfügbarkeitsauswirkung.
Häufig gestellte Fragen
Wird CVE-2019-5591 aktiv ausgenutzt?
Ja, CVE-2019-5591 wurde in der Praxis ausgenutzt, insbesondere in Kombination mit anderen Fortinet-Schwachstellen wie CVE-2018-13379 und CVE-2020-12812. Die Schwachstelle ist im CISA KEV-Katalog gelistet mit einem EPSS-Score von 0.48360 (97,69. Perzentile).
Welche Produkte sind von CVE-2019-5591 betroffen?
Fortinet FortiOS-Versionen bis einschließlich 6.2.0 sind betroffen. Die Schwachstelle existiert in der Standard-LDAP-Konfiguration, die die LDAP-Server-Identität beim Verbindungsaufbau nicht verifiziert.
Wie behebe ich CVE-2019-5591?
Aktualisieren Sie FortiOS über Version 6.2.0 hinaus und konfigurieren Sie die LDAP-Server-Identitätsverifikation mittels zertifikatsbasierter Authentifizierung (LDAPS). Verlassen Sie sich nicht auf Standardkonfigurationen. Implementieren Sie Netzwerksegmentierung für LDAP-Kommunikationskanäle. Konsultieren Sie das Fortinet-Advisory FG-IR-19-037.
Wie schwerwiegend ist CVE-2019-5591?
CVE-2019-5591 ist mit einem CVSS-Score von 6.5 als MITTEL eingestuft. Obwohl der Bedarf an adjacentem Netzwerkzugriff die Remote-Ausnutzung einschränkt, ermöglicht sie das Abfangen von Anmeldedaten. Die Aufnahme in den CISA KEV-Katalog und der EPSS-Score von 0.48360 (97,69. Perzentile) bestätigen reale Ausnutzung, besonders als Teil verketteter Angriffe gegen FortiOS.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.