CVE-2020-12812
Fortinet FortiOS SSL VPN Improper Authentication Vulnerability
Beschreibung
CVE-2020-12812 ist eine KRITISCHE Schwachstelle bei unsachgemäßer Authentifizierung im Fortinet FortiOS SSL VPN mit einem CVSS-3.1-Score von 9.8. Die Schwachstelle ermöglicht es einem Benutzer, sich erfolgreich beim SSL VPN anzumelden, ohne zur Eingabe des zweiten Authentifizierungsfaktors (FortiToken) aufgefordert zu werden, wenn er die Groß-/Kleinschreibung seines Benutzernamens ändert. Betroffen sind Fortinet FortiOS-Versionen vor 6.0.10, Versionen 6.2.0 bis 6.2.3 und Version 6.4.0. Diese CVE ist im CISA KEV-Katalog gelistet mit einer Behebungsfrist bis zum 2022-05-03. Der EPSS-Score von 0.47037 (97,63. Perzentile) belegt signifikante reale Ausnutzungsaktivität.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| fortinet | fortios | < 6.0.10; >= 6.2.0, < 6.2.4; 6.4.0 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://fortiguard.com/psirt/FG-IR-19-283(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2020-12812(US Government Resource)
Schwachstellentyp
CWE-178: Unsachgemäße Behandlung der Groß-/Kleinschreibung
CVE-2020-12812 wird unter CWE-178 klassifiziert — Unsachgemäße Behandlung der Groß-/Kleinschreibung. Diese Schwachstelle tritt auf, wenn Software Unterschiede zwischen Groß- und Kleinbuchstaben bei sicherheitsrelevanten Vergleichen oder Abfragen nicht ordnungsgemäß berücksichtigt.
CWE-287: Unsachgemäße Authentifizierung
CVE-2020-12812 wird zusätzlich unter CWE-287 klassifiziert — Unsachgemäße Authentifizierung. Diese Schwachstelle tritt auf, wenn ein Akteur eine bestimmte Identität beansprucht, das Produkt diesen Anspruch jedoch nicht oder unzureichend überprüft.
Im Kontext des Fortinet FortiOS SSL VPN erzeugt die Kombination aus fehlerhafter Groß-/Kleinschreibungsbehandlung und unsachgemäßer Authentifizierung einen kritischen Bypass. Wenn ein Benutzer die Groß-/Kleinschreibung seines Benutzernamens ändert (z.B. von "user" zu "User"), erkennt das System ihn als denselben Benutzer für Anmeldezwecke, erzwingt aber nicht die FortiToken-Zwei-Faktor-Authentifizierung. Dies reduziert die Multi-Faktor-Authentifizierung effektiv auf eine Ein-Faktor-Authentifizierung.
Mehr erfahren: CWE-178 — Unsachgemäße Behandlung der Groß-/Kleinschreibung
Auswirkungsanalyse
Vertraulichkeit (HIGH): Erfolgreiche Ausnutzung umgeht die Zwei-Faktor-Authentifizierung des FortiOS SSL VPN und gewährt Angreifern vollständigen VPN-Zugriff nur mit gestohlenen oder erratenen Anmeldedaten. Dies bietet Zugriff auf alle internen Netzwerkressourcen, die über das VPN verfügbar sind, einschließlich sensibler Unternehmensdaten und interner Anwendungen.
Integrität (HIGH): Mit VPN-Zugriff können Angreifer interne Systeme modifizieren, Malware einschleusen, Konfigurationen ändern und persistenten Zugriff auf das Unternehmensnetzwerk etablieren. Die umgangene Authentifizierung untergräbt das gesamte Vertrauensmodell der VPN-Infrastruktur.
Verfügbarkeit (HIGH): Angreifer mit VPN-Zugriff können interne Dienste stören, Ransomware einschleusen oder destruktive Operationen im internen Netzwerk durchführen. Der VPN-Zugriff bietet einen Ausgangspunkt für laterale Bewegung zu kritischer Infrastruktur.
Mit einem EPSS-Score von 0.47037 (97,63. Perzentile) hat diese Schwachstelle eine hohe Ausnutzungswahrscheinlichkeit, besonders in Kombination mit Credential-Diebstahl oder anderen Fortinet-Schwachstellen.
Exploit-Reifegrad
Exploit-Status: CVE-2020-12812 wird aktiv ausgenutzt, häufig in Kombination mit CVE-2018-13379 (FortiOS Path Traversal für Credential-Diebstahl) und CVE-2019-5591 (LDAP-Standardkonfiguration). Zusammen bilden diese Schwachstellen eine vollständige Angriffskette. Die Schwachstelle ist im CISA KEV-Katalog gelistet. Der EPSS-Score von 0.47037 (97,63. Perzentile) bestätigt signifikante Ausnutzung.
Ransomware-Bezug: CVE-2020-12812 wurde als mit Ransomware-Kampagnen verbunden bestätigt. Ransomware-Betreiber haben diese Schwachstelle genutzt, um 2FA auf FortiOS-VPNs als Teil ihrer initialen Zugriffsstrategie zu umgehen.
Angriffsfläche: Das FortiOS SSL VPN ist häufig internetexponiert und bietet eine große Angriffsfläche. Die Ausnutzung ist trivial — einfaches Ändern der Groß-/Kleinschreibung eines Benutzernamens umgeht 2FA. Keine speziellen Tools oder Exploit-Code sind erforderlich.
KEV-Frist: Die CISA-Behebungsfrist war der 2022-05-03.
Behebung
- Hersteller-Patches umgehend anwenden. Wenden Sie Updates gemäß den Anweisungen des Herstellers an. Konsultieren Sie das Fortinet-Advisory unter fortiguard.com/psirt/FG-IR-19-283. Aktualisieren Sie auf FortiOS 6.0.10 oder höher, 6.2.4 oder höher bzw. 6.4.1 oder höher.
- 2FA-Durchsetzung über alle Benutzernamen-Variationen verifizieren. Testen Sie, dass die Zwei-Faktor-Authentifizierung unabhängig von der Groß-/Kleinschreibung des Benutzernamens korrekt durchgesetzt wird.
- VPN-Zugriffsprotokolle auf verdächtige Aktivitäten auditieren. Überprüfen Sie SSL-VPN-Authentifizierungsprotokolle auf erfolgreiche Anmeldungen, bei denen die Groß-/Kleinschreibung des Benutzernamens vom konfigurierten Konto abweicht.
- Zusätzliche Authentifizierungskontrollen implementieren. Erwägen Sie die Implementierung zertifikatsbasierter VPN-Authentifizierung zusätzlich zu Benutzername/Passwort und FortiToken.
- Potenziell kompromittierte Anmeldedaten rotieren. Falls die Schwachstelle möglicherweise ausgenutzt wurde, erzwingen Sie Passwort-Resets für alle VPN-Benutzer und registrieren Sie FortiToken-Zweitfaktoren erneut.
- Defense-in-Depth für VPN-Zugriff deployen. Implementieren Sie Anomalie-basiertes Monitoring für VPN-Sitzungen und erzwingen Sie geografische Zugriffsbeschränkungen.
Technische Details
Angriffsvektor: NETWORK
Angriffskomplexität: Niedrig
Erforderliche Rechte: Keine
Benutzerinteraktion: Keine
Technischer Ablauf: Die Schwachstelle existiert im SSL-VPN-Authentifizierungsmodul von FortiOS. Wenn die Zwei-Faktor-Authentifizierung mittels FortiToken konfiguriert ist, prüft das System, ob der authentifizierende Benutzer einen zweiten Faktor benötigt. Diese Prüfung ist jedoch case-sensitiv — sie vergleicht den bereitgestellten Benutzernamen mit dem konfigurierten Benutzernamen in einer case-sensitiven Art. Wenn der Benutzer die Groß-/Kleinschreibung eines Zeichens in seinem Benutzernamen ändert (z.B. "admin" zu "Admin"), authentifiziert das System den Benutzer weiterhin gegen das korrekte Konto (case-insensitive Validierung), kann ihn aber nicht mit der 2FA-Anforderung abgleichen (case-sensitive Policy-Abfrage). Diese Inkonsistenz ermöglicht die vollständige Umgehung der FortiToken-Zwei-Faktor-Authentifizierung.
Betroffene Produkte: FortiOS vor 6.0.10, FortiOS 6.2.0 bis 6.2.3, FortiOS 6.4.0.
CVSS-3.1-Bewertung: Der Score von 9.8 (KRITISCH) mit dem Vektor AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H reflektiert die netzwerkbasierte Ausnutzung ohne Privilegien und ohne Benutzerinteraktion bei maximaler CIA-Auswirkung.
Häufig gestellte Fragen
Wird CVE-2020-12812 aktiv ausgenutzt?
Ja, CVE-2020-12812 wird aktiv ausgenutzt, häufig in Kombination mit anderen Fortinet-Schwachstellen wie CVE-2018-13379 und CVE-2019-5591 zur Bildung vollständiger Angriffsketten. Die Schwachstelle ist im CISA KEV-Katalog gelistet mit einem EPSS-Score von 0.47037 (97,63. Perzentile). Ransomware-Verbindungen sind bestätigt.
Welche Produkte sind von CVE-2020-12812 betroffen?
Fortinet FortiOS-Versionen vor 6.0.10, Versionen 6.2.0 bis 6.2.3 und Version 6.4.0 sind betroffen. Die Schwachstelle existiert im SSL-VPN-Authentifizierungsmodul, wo die Zwei-Faktor-Authentifizierung durch Änderung der Groß-/Kleinschreibung des Benutzernamens umgangen werden kann.
Wie behebe ich CVE-2020-12812?
Aktualisieren Sie auf FortiOS 6.0.10 oder höher, 6.2.4 oder höher bzw. 6.4.1 oder höher. Verifizieren Sie nach dem Patching, dass 2FA unabhängig von der Groß-/Kleinschreibung durchgesetzt wird. Auditieren Sie VPN-Zugriffsprotokolle auf verdächtige Anmeldeaktivitäten und rotieren Sie Anmeldedaten bei Verdacht auf Kompromittierung.
Wie schwerwiegend ist CVE-2020-12812?
CVE-2020-12812 ist mit einem CVSS-Score von 9.8 als KRITISCH eingestuft. Die Schwachstelle ermöglicht die vollständige Umgehung der FortiToken-Zwei-Faktor-Authentifizierung durch einfaches Ändern der Groß-/Kleinschreibung eines Benutzernamens. Der EPSS-Score von 0.47037 (97,63. Perzentile) bestätigt hohe Ausnutzungsraten. Sie wurde in Ransomware-Kampagnen gegen VPN-Infrastrukturen eingesetzt.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.