CVE-2022-42475
Fortinet FortiOS Heap-Based Buffer Overflow Vulnerability
Beschreibung
CVE-2022-42475 ist eine kritische Heap-basierte Pufferüberlauf-Schwachstelle im SSL-VPN-Modul von Fortinet FortiOS und FortiProxy. Diese Schwachstelle ermöglicht es einem entfernten, nicht authentifizierten Angreifer, über speziell präparierte Anfragen beliebigen Code oder Befehle auf dem betroffenen System auszuführen. Betroffen sind FortiOS-Versionen 7.2.0 bis 7.2.2, 7.0.0 bis 7.0.8, 6.4.0 bis 6.4.10, 6.2.0 bis 6.2.11, 6.0.15 und früher sowie FortiProxy 7.2.0 bis 7.2.1 und 7.0.7 und früher. CVE-2022-42475 wurde von der CISA in den KEV-Katalog aufgenommen und ist mit Ransomware-Angriffen in Verbindung gebracht worden. Mit einem CVSS-Score von 9.8 (CRITICAL) und einem EPSS-Score von 93,98 % gehört diese Schwachstelle zu den am häufigsten ausgenutzten Sicherheitslücken in Netzwerkinfrastruktur.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| fortinet | fortios | >= 5.0.0, <= 5.0.14; >= 5.2.0, <= 5.2.15; >= 5.4.0, <= 5.4.13; >= 5.6.0, <= 5.6.14; >= 6.0.0, < 6.0.16; >= 6.2.0, < 6.2.12; >= 6.4.0, < 6.4.11; >= 7.0.0, < 7.0.9; >= 7.2.0, < 7.2.3; >= 6.0.0, < 6.0.15; >= 6.4.0, < 6.4.10; >= 7.0.0, < 7.0.8 |
| fortinet | fortiproxy | >= 1.0.0, <= 1.0.7; >= 1.1.0, <= 1.1.6; >= 1.2.0, <= 1.2.13; >= 2.0.0, < 2.0.12; >= 7.0.0, < 7.0.8; >= 7.2.0, < 7.2.2 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://fortiguard.com/psirt/FG-IR-22-398(Exploit, Mitigation, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2022-42475(US Government Resource)
Schwachstellentyp
CWE-197: Numeric Truncation Error
Ein Numeric-Truncation-Fehler tritt auf, wenn ein numerischer Wert in einen kleineren Datentyp konvertiert wird und dabei Daten verloren gehen. Im Kontext von CVE-2022-42475 kann diese Art von Fehler zu einer fehlerhaften Speicherberechnung in der SSL-VPN-Komponente von FortiOS beitragen, was den Pufferüberlauf begünstigt.
Mehr erfahren: CWE-197 — Numeric Truncation Error
CWE-787: Out-of-bounds Write
Ein Out-of-bounds-Write liegt vor, wenn Daten außerhalb der vorgesehenen Speichergrenzen geschrieben werden. Bei CVE-2022-42475 schreibt die anfällige SSL-VPN-Komponente von FortiOS Daten über die Grenzen des zugewiesenen Heap-Speichers hinaus, was einem Angreifer ermöglicht, den Programmfluss zu manipulieren und beliebigen Code auszuführen.
Mehr erfahren: CWE-787 — Out-of-bounds Write
Auswirkungsanalyse
CVE-2022-42475 ist über das Netzwerk ausnutzbar, ohne dass physischer Zugriff erforderlich ist, und die Angriffskomplexität ist gering — es sind keine speziellen Bedingungen für eine erfolgreiche Ausnutzung nötig. Die Schwachstelle erfordert keine Authentifizierung und keine Benutzerinteraktion, was sie besonders gefährlich macht. Bei erfolgreicher Ausnutzung sind Vertraulichkeit, Integrität und Verfügbarkeit vollständig kompromittiert, was bedeutet, dass ein Angreifer die vollständige Kontrolle über die betroffene FortiOS- oder FortiProxy-Instanz erlangen kann. Mit einem CVSS-Score von 9.8 (CRITICAL) und einem EPSS-Score von 93,98 %, der auf eine nahezu sichere Ausnutzung hindeutet, ist diese Schwachstelle von höchster Priorität. Besonders alarmierend ist, dass CVE-2022-42475 mit Ransomware-Kampagnen in Verbindung steht, was das Risiko von Datenverschlüsselung und Erpressung erheblich erhöht.
Exploit-Reifegrad
CVE-2022-42475 weist einen extrem hohen Exploit-Reifegrad auf. Die CISA hat die aktive Ausnutzung bestätigt und die Schwachstelle in den KEV-Katalog aufgenommen, wobei sie ausdrücklich mit Ransomware-Angriffen in Verbindung gebracht wird. Öffentlicher Exploit-Code ist verfügbar — Fortinet selbst hat in seinem Advisory FG-IR-22-398 Exploit-Details veröffentlicht. Der EPSS-Score von 93,98 % (99,89. Perzentil) zeigt, dass diese Schwachstelle mit nahezu absoluter Sicherheit aktiv ausgenutzt wird und zu den am meisten angegriffenen Sicherheitslücken weltweit gehört.
Behebung
- Gemäß CISA-Vorgabe handeln: Wenden Sie die vom Hersteller bereitgestellten Patches an oder stellen Sie die Nutzung des Produkts ein. Die Behebungsfrist war der 3. Januar 2023.
- FortiOS und FortiProxy aktualisieren: Aktualisieren Sie FortiOS auf Version 7.2.3, 7.0.9, 6.4.11, 6.2.12 oder höher. Für FortiProxy aktualisieren Sie auf Version 7.2.2, 7.0.8 oder höher. Detaillierte Upgrade-Pfade finden Sie im Fortinet-Advisory FG-IR-22-398.
- SSL-VPN-Zugang absichern: Falls ein sofortiges Update nicht möglich ist, deaktivieren Sie den SSL-VPN-Dienst als Interimslösung. Implementieren Sie Netzwerksegmentierung, um den Zugriff auf die SSL-VPN-Schnittstelle auf autorisierte IP-Bereiche zu beschränken.
- Kompromittierungsindikatoren prüfen: Überprüfen Sie FortiOS-Logs auf verdächtige Aktivitäten, insbesondere ungewöhnliche SSL-VPN-Verbindungen, unbekannte Dateien im Dateisystem und unerklärliche Konfigurationsänderungen. Fortinet hat in seinem Advisory spezifische IOCs veröffentlicht.
- Langfristige Härtung: Implementieren Sie eine Multi-Faktor-Authentifizierung für VPN-Zugänge und aktivieren Sie strikte Eingabevalidierung auf Netzwerk-Appliance-Ebene, um Pufferüberlauf-Angriffe generell zu erschweren.
Technische Details
CVE-2022-42475 beruht auf einer Kombination aus einem Numeric-Truncation-Fehler (CWE-197) und einem Out-of-bounds-Write (CWE-787) in der SSL-VPN-Komponente von FortiOS. Die fehlerhafte numerische Konvertierung führt zu einer falschen Berechnung der erforderlichen Puffergröße, wodurch nachfolgende Schreiboperationen über die Grenzen des zugewiesenen Heap-Speichers hinausgehen. Der Angriffsvektor ist netzwerkbasiert (AV:N) mit geringer Komplexität (AC:L), wobei weder Authentifizierung (PR:N) noch Benutzerinteraktion (UI:N) erforderlich sind — ein Angreifer kann die Schwachstelle allein durch das Senden speziell präparierter Anfragen an den SSL-VPN-Dienst ausnutzen. Die resultierenden Auswirkungen umfassen die vollständige Kompromittierung von Vertraulichkeit (C:H), Integrität (I:H) und Verfügbarkeit (A:H), da der Out-of-bounds-Write es dem Angreifer ermöglicht, den Ausführungsfluss zu übernehmen und beliebigen Code mit den Rechten des FortiOS-Prozesses auszuführen.
Häufig gestellte Fragen
Wird CVE-2022-42475 aktiv ausgenutzt?
Ja, CVE-2022-42475 wird massiv aktiv ausgenutzt. Die CISA hat die Schwachstelle in den KEV-Katalog aufgenommen und sie ist ausdrücklich mit Ransomware-Kampagnen verknüpft. Der EPSS-Score von 93,98 % bestätigt, dass diese Schwachstelle zu den am häufigsten ausgenutzten Sicherheitslücken weltweit gehört.
Welche Produkte sind von CVE-2022-42475 betroffen?
Betroffen sind FortiOS-Versionen 7.2.0 bis 7.2.2, 7.0.0 bis 7.0.8, 6.4.0 bis 6.4.10, 6.2.0 bis 6.2.11 und 6.0.15 sowie frühere Versionen. Ebenfalls betroffen ist FortiProxy in den Versionen 7.2.0 bis 7.2.1 und 7.0.7 sowie früheren Versionen. Nur Instanzen mit aktiviertem SSL-VPN-Dienst sind verwundbar.
Wie behebe ich CVE-2022-42475?
Aktualisieren Sie FortiOS auf mindestens Version 7.2.3, 7.0.9, 6.4.11 oder 6.2.12 und FortiProxy auf Version 7.2.2 oder 7.0.8. Falls ein sofortiges Update nicht möglich ist, deaktivieren Sie den SSL-VPN-Dienst als Zwischenlösung. Überprüfen Sie zudem die Fortinet-Advisory FG-IR-22-398 auf Kompromittierungsindikatoren.
Wie schwerwiegend ist CVE-2022-42475?
Mit einem CVSS-Score von 9.8 (CRITICAL) ist CVE-2022-42475 eine der schwerwiegendsten Schwachstellen in Netzwerkinfrastruktur. Die Kombination aus Netzwerkzugang ohne Authentifizierung, geringer Angriffskomplexität und vollständiger Systemkompromittierung, zusammen mit der bestätigten Verbindung zu Ransomware-Angriffen, macht diese Schwachstelle zu einer absoluten Priorität für die sofortige Behebung.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.