CVE-2022-41328
Fortinet FortiOS Path Traversal Vulnerability
Beschreibung
CVE-2022-41328 ist eine Path-Traversal-Schwachstelle in Fortinet FortiOS, die es einem privilegierten Angreifer ermöglicht, über manipulierte CLI-Befehle Dateien auf dem zugrunde liegenden Linux-System zu lesen und zu schreiben. Die Schwachstelle wurde mit einem CVSS-Score von 6,7 (MEDIUM) bewertet und betrifft FortiOS Version 7.2.0 bis 7.2.3, Version 7.0.0 bis 7.0.9 und Versionen vor 6.4.11. Obwohl hohe Privilegien für die Ausnutzung erforderlich sind, hat die CISA die Schwachstelle in den KEV-Katalog aufgenommen mit einer Behebungsfrist bis zum 4. April 2023, was auf eine aktive Ausnutzung in der Praxis hindeutet. Der vergleichsweise niedrige EPSS-Score von 0,24 % (Perzentile: 46,31 %) steht im Kontrast zur KEV-Aufnahme und deutet darauf hin, dass die Ausnutzung gezielt und nicht massenhaft erfolgt.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| fortinet | fortios | >= 6.0.0, <= 6.0.16; >= 6.2.0, < 6.2.14; >= 6.4.0, < 6.4.12; >= 7.0.0, < 7.0.10; >= 7.2.0, < 7.2.4 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N
Referenzen
- https://fortiguard.com/psirt/FG-IR-22-369(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2022-41328(US Government Resource)
Schwachstellentyp
CWE-22: Improper Limitation of a Pathname to a Restricted Directory (Path Traversal)
CVE-2022-41328 ist der Schwachstellenklasse CWE-22: Improper Limitation of a Pathname to a Restricted Directory (Path Traversal) zugeordnet. Bei dieser Schwachstellenklasse schränkt ein System den Zugriff auf Dateipfade nicht korrekt ein, sodass ein Angreifer durch Manipulation von Pfadangaben auf Dateien und Verzeichnisse außerhalb des vorgesehenen Bereichs zugreifen kann.
Im Fall von CVE-2022-41328 können privilegierte Benutzer über speziell gestaltete CLI-Befehle die Pfadeinschränkungen des FortiOS-Dateisystems umgehen. Dadurch wird sowohl lesender als auch schreibender Zugriff auf beliebige Dateien des zugrunde liegenden Linux-Betriebssystems möglich, was weit über die vorgesehenen Berechtigungen eines FortiOS-Administrators hinausgeht.
Auswirkungsanalyse
Vertraulichkeit (Hoch): CVE-2022-41328 ermöglicht einem privilegierten Angreifer das Lesen beliebiger Dateien auf dem zugrunde liegenden Linux-System. Dazu gehören Konfigurationsdateien, Zertifikate, Schlüsselmaterial und potenziell Firmware-Images. Der Zugriff auf solche Informationen kann zur Kompromittierung des gesamten Netzwerks führen, das durch die FortiGate-Appliance geschützt wird.
Integrität (Hoch): Durch den Schreibzugriff auf das Dateisystem kann ein Angreifer Systemdateien manipulieren, Hintertüren in die Firmware einschleusen oder die Konfiguration des Geräts heimlich verändern. Solche Modifikationen können persistent sein und auch nach Neustarts oder Firmware-Updates bestehen bleiben.
Verfügbarkeit (Hoch): Das Überschreiben kritischer Systemdateien kann zur Funktionsunfähigkeit der FortiGate-Appliance führen und damit den Netzwerkschutz vollständig außer Kraft setzen. FortiOS-Geräte sind typischerweise als Firewalls, VPN-Gateways oder UTM-Appliances zentrale Sicherheitskomponenten.
Die Anforderung hoher Privilegien relativiert die Gefährdung nur bedingt, da Angreifer, die Zugang zur FortiOS-CLI haben, bereits über erhöhte Berechtigungen verfügen, typischerweise durch kompromittierte Administratorkonten oder die Kombination mit anderen Schwachstellen.
Exploit-Reifegrad
CVE-2022-41328 weist eine gezielte, aber bestätigte Ausnutzung auf. Der EPSS-Score von 0,24 % (Perzentile: 46,31 %) ist vergleichsweise niedrig, was darauf hindeutet, dass die Schwachstelle nicht für massenhafte automatisierte Angriffe genutzt wird. Dennoch hat die CISA die Schwachstelle in den KEV-Katalog aufgenommen mit einer Behebungsfrist bis zum 4. April 2023.
Die Aufnahme in den KEV-Katalog trotz des niedrigen EPSS-Scores deutet auf gezielte Angriffe durch fortgeschrittene Bedrohungsakteure (APT) hin. Die Anforderung hoher Privilegien und des lokalen Zugriffs schränkt den Kreis potenzieller Angreifer ein. Fortinet hat über FortiGuard (FG-IR-22-369) ein Advisory veröffentlicht. Die Ransomware-Assoziation im KEV-Katalog ist als Unknown gekennzeichnet.
Behebung
- FortiOS aktualisieren: Sofortiges Update auf FortiOS 7.2.4 oder höher, 7.0.10 oder höher bzw. 6.4.11 oder höher gemäß dem FortiGuard Advisory FG-IR-22-369.
- FortiOS-Konfiguration auf Manipulationen prüfen: Bestehende Konfigurationen auf unautorisierte Änderungen überprüfen, insbesondere auf unbekannte Administratorkonten, geänderte Zugriffsregeln oder verdächtige CLI-Befehle in den Logs.
- Firmware-Integrität verifizieren: Die Integrität der FortiOS-Firmware durch Checksummen-Vergleich mit den offiziellen Fortinet-Releases prüfen, um Manipulationen auszuschließen.
- Administratorzugänge absichern: CLI-Zugang auf vertrauenswürdige Management-Netzwerke einschränken, starke Authentifizierung (Multi-Faktor) für alle Administratorkonten aktivieren.
- FortiGuard Advisory FG-IR-22-369 konsultieren: Das offizielle Fortinet Advisory für spezifische technische Details und Mitigationshinweise prüfen.
- Logging und Monitoring verstärken: CLI-Aktivitäten und Dateizugriffe auf FortiOS-Geräten überwachen und bei verdächtigen Mustern alarmieren.
- Incident Response bei Kompromittierungsverdacht: Bei Anzeichen einer Ausnutzung umgehend Incident-Response-Prozesse einleiten, betroffene Geräte isolieren und forensische Analyse durchführen.
Technische Details
Technischer Hintergrund: CVE-2022-41328 ist eine Path-Traversal-Schwachstelle (CWE-22) in Fortinet FortiOS, dem Betriebssystem der FortiGate-Sicherheitsappliances. FortiOS bietet eine CLI-Schnittstelle für die Konfiguration und Verwaltung, die normalerweise auf einen eingeschränkten Bereich des Dateisystems beschränkt sein sollte.
Ausnutzungsmechanismus: Durch speziell gestaltete CLI-Befehle kann ein privilegierter Benutzer die Pfadeinschränkungen umgehen und sowohl lesenden als auch schreibenden Zugriff auf beliebige Dateien des zugrunde liegenden Linux-Betriebssystems erlangen. Die Schwachstelle ermöglicht es, aus dem vorgesehenen FortiOS-Sandkasten auszubrechen und direkt mit dem Betriebssystem zu interagieren.
Betroffene Versionen: FortiOS 7.2.0 bis 7.2.3, FortiOS 7.0.0 bis 7.0.9 und alle FortiOS-Versionen vor 6.4.11. Die Patches sind in FortiOS 7.2.4, 7.0.10 und 6.4.11 enthalten.
Angriffsvoraussetzungen: Die Ausnutzung erfordert hohe Privilegien (z. B. ein Administratorkonto) und lokalen Zugriff auf die CLI. In der Praxis kann dieser Zugang durch vorherige Kompromittierung von Administratorkonten, Ausnutzung anderer Schwachstellen oder durch Insider-Bedrohungen erlangt werden. Die Kombination mit anderen FortiOS-Schwachstellen für eine Angriffskette ist ein realistisches Szenario.
Häufig gestellte Fragen
Wird CVE-2022-41328 aktiv ausgenutzt?
Ja, CVE-2022-41328 wird aktiv ausgenutzt. Die Schwachstelle ist im CISA KEV-Katalog gelistet mit einer Behebungsfrist bis zum 4. April 2023. Obwohl der EPSS-Score mit 0,24 % niedrig ist, deutet die KEV-Aufnahme auf gezielte Angriffe durch fortgeschrittene Bedrohungsakteure hin.
Welche Produkte sind von CVE-2022-41328 betroffen?
Betroffen ist Fortinet FortiOS in den Versionen 7.2.0 bis 7.2.3, 7.0.0 bis 7.0.9 und allen Versionen vor 6.4.11. FortiOS ist das Betriebssystem der FortiGate-Sicherheitsappliances, die als Firewalls, VPN-Gateways und UTM-Lösungen eingesetzt werden.
Wie behebe ich CVE-2022-41328?
Die Behebung erfordert das Update auf FortiOS 7.2.4 oder höher, 7.0.10 oder höher bzw. 6.4.11 oder höher. Das offizielle FortiGuard Advisory FG-IR-22-369 enthält alle relevanten Informationen. Zusätzlich sollte die Firmware-Integrität überprüft und der CLI-Zugang abgesichert werden.
Wie schwerwiegend ist CVE-2022-41328?
CVE-2022-41328 wird mit einem CVSS-Score von 6,7 (MEDIUM) bewertet, da hohe Privilegien für die Ausnutzung erforderlich sind. Die reale Gefährdung ist jedoch höher, da die Schwachstelle nachweislich in gezielten Angriffen ausgenutzt wird und die vollständige Kompromittierung des zugrunde liegenden Betriebssystems ermöglicht.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.