CVE-2022-40684
Fortinet Multiple Products Authentication Bypass Vulnerability
Beschreibung
CVE-2022-40684 ist eine kritische Authentifizierungsumgehung in Fortinet FortiOS, FortiProxy und FortiSwitchManager, die es einem nicht authentifizierten Angreifer ermöglicht, über speziell gestaltete HTTP- oder HTTPS-Anfragen administrative Operationen durchzuführen. Mit einem EPSS-Score von 94,40 % (99,98. Perzentil) gehört diese Schwachstelle zu den am aktivsten ausgenutzten Sicherheitslücken. Die CISA hat CVE-2022-40684 am 11. Oktober 2022 in den KEV-Katalog aufgenommen, und die Nutzung in Ransomware-Kampagnen wurde bestätigt.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| fortinet | fortiproxy | >= 7.0.0, < 7.0.7; 7.2.0 |
| fortinet | fortiswitchmanager | 7.0.0; 7.2.0 |
| fortinet | fortios | >= 7.0.0, < 7.0.7; >= 7.2.0, < 7.2.2 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://packetstormsecurity.com/files/169431/Fortinet-FortiOS-FortiProxy-FortiSwitchManager-Authentication-Bypass.html(Exploit, Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/171515/Fortinet-7.2.1-Authentication-Bypass.html(Exploit, Third Party Advisory, VDB Entry)
- https://fortiguard.com/psirt/FG-IR-22-377(Mitigation, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2022-40684(US Government Resource)
Schwachstellentyp
CWE-287: Improper Authentication
CVE-2022-40684 nutzt eine fehlerhafte Authentifizierung in Fortinets administrativer Schnittstelle aus. Das Produkt validiert Authentifizierungsdaten für bestimmte HTTP/HTTPS-Anfragemuster nicht korrekt, wodurch nicht authentifizierte Angreifer auf administrative Funktionen zugreifen können.
Mehr erfahren: CWE-287 — Improper Authentication
Auswirkungsanalyse
CVE-2022-40684 ist eine kritische Authentifizierungsumgehung, die ohne Authentifizierung, Benutzerinteraktion oder besondere Voraussetzungen aus dem Netzwerk heraus ausnutzbar ist. Ein Angreifer erlangt vollen administrativen Zugang zu FortiOS-, FortiProxy- und FortiSwitchManager-Geräten und kann Firewall-Regeln ändern, Netzwerkverkehr abfangen, VPN-Konten erstellen und tiefer in Unternehmensnetzwerke vordringen. Vertraulichkeit, Integrität und Verfügbarkeit sind kritisch betroffen. Die bestätigte Nutzung in Ransomware-Kampagnen und der EPSS-Score von 94,40 % machen diese Schwachstelle zu einer dringenden Priorität.
Exploit-Reifegrad
Die CISA hat die aktive Ausnutzung von CVE-2022-40684 bestätigt und die Schwachstelle am 11. Oktober 2022 in den KEV-Katalog aufgenommen (Behebungsfrist: 1. November 2022). Die Schwachstelle wird nachweislich in Ransomware-Kampagnen eingesetzt. Der EPSS-Score von 94,40 % (99,98. Perzentil) belegt nahezu sichere Ausnutzungsaktivität. Öffentlicher Exploit-Code ist breit verfügbar.
Behebung
- Fortinet-Patches sofort einspielen: Aktualisieren Sie FortiOS auf Version 7.2.2 bzw. 7.0.7 oder neuer, FortiProxy auf 7.2.1 bzw. 7.0.7 oder neuer und FortiSwitchManager auf 7.2.1 oder neuer.
- HTTP/HTTPS-Adminzugang deaktivieren: Deaktivieren Sie den administrativen Schnittstellenzugriff über HTTP/HTTPS aus dem Internet als sofortige Gegenmaßnahme.
- Adminzugang per IP einschränken: Konfigurieren Sie Local-in-Policies, um den Zugang zur Administrationsschnittstelle auf vertrauenswürdige Management-IPs zu beschränken.
- Kompromittierungsindikatoren prüfen: Überprüfen Sie administrative Benutzerkonten auf unautorisierte Hinzufügungen und Konfigurationsänderungen an Firewall-Richtlinien oder VPN-Einstellungen.
- Alle Zugangsdaten rotieren: Nach dem Patchen alle Administratorpasswörter und VPN-Benutzerdaten erneuern.
Technische Details
CVE-2022-40684 ist eine Authentifizierungsumgehung in den administrativen Schnittstellen von Fortinet FortiOS, FortiProxy und FortiSwitchManager. Die Schwachstelle ermöglicht es einem nicht authentifizierten Angreifer, spezifische HTTP- oder HTTPS-Anfragen zu erstellen, die den Authentifizierungsmechanismus vollständig umgehen. Der Fehler liegt in der Request-Forwarding-Logik, bei der ein speziell konstruierter Forwarded-HTTP-Header das System dazu bringt, eine externe Anfrage als interne Management-Anfrage zu behandeln. Durch Setzen des Forwarded-Headers auf eine vertrauenswürdige IP-Adresse kann der Angreifer einen authentifizierten Administrator imitieren und beliebige administrative Operationen durchführen, einschließlich des Hinzufügens von SSH-Schlüsseln und der Erstellung neuer Admin-Konten.
Häufig gestellte Fragen
Wird CVE-2022-40684 aktiv ausgenutzt?
Ja, CVE-2022-40684 wird aktiv ausgenutzt und nachweislich in Ransomware-Kampagnen verwendet. Die CISA hat die Schwachstelle am 11. Oktober 2022 in den KEV-Katalog aufgenommen. Der EPSS-Score von 94,40 % belegt nahezu sichere Ausnutzungsaktivität.
Welche Produkte sind von CVE-2022-40684 betroffen?
Betroffen sind Fortinet FortiOS (Versionen 7.0.0 bis 7.0.6 und 7.2.0 bis 7.2.1), FortiProxy (Versionen 7.0.0 bis 7.0.6 und 7.2.0) sowie FortiSwitchManager (Versionen 7.0.0 und 7.2.0).
Wie behebe ich CVE-2022-40684?
Aktualisieren Sie FortiOS, FortiProxy und FortiSwitchManager auf die neuesten gepatchten Versionen. Als Sofortmaßnahme deaktivieren Sie den HTTP/HTTPS-Adminzugang aus dem Internet.
Wie schwerwiegend ist CVE-2022-40684?
CVE-2022-40684 ist eine kritische Schwachstelle mit einem EPSS-Score von 94,40 % (99,98. Perzentil) und bestätigter Ransomware-Nutzung. Sie ermöglicht nicht authentifizierten Angreifern die vollständige administrative Kontrolle über Fortinet-Sicherheitsgeräte.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.