CVE-2023-48788
Fortinet FortiClient EMS SQL Injection Vulnerability
Beschreibung
CVE-2023-48788 ist eine kritische SQL-Injection-Schwachstelle in Fortinet FortiClient Enterprise Management Server (EMS), die es einem unauthentifizierten Angreifer ermoeglicht, ueber speziell praeparierte Datenpakete unautorisierten Code oder Befehle auf dem Server auszufuehren. Die Schwachstelle wird mit einem CVSS-Score von 9.8 (CRITICAL) bewertet und betrifft FortiClient EMS Version 7.0.1 bis 7.0.10 sowie 7.2.0 bis 7.2.2.
Die CISA hat CVE-2023-48788 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 2024-04-15. Der EPSS-Score von 94,17 % (99,9. Perzentil) signalisiert eine nahezu sichere aktive Ausnutzung. Die Schwachstelle wird bestaetigt von Ransomware-Gruppen ausgenutzt und stellt ein erhebliches Risiko fuer Organisationen dar, die FortiClient EMS fuer die zentrale Endpunktverwaltung einsetzen.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| fortinet | forticlient enterprise management server | >= 7.0.1, < 7.0.11; >= 7.2.0, < 7.2.3 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://fortiguard.com/psirt/FG-IR-24-007(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2023-48788(US Government Resource)
Schwachstellentyp
SQL Injection in FortiClient EMS
CVE-2023-48788 basiert auf einer unsachgemaessen Neutralisierung spezieller Elemente in SQL-Befehlen (SQL Injection) im FortiClient Enterprise Management Server. Die Schwachstelle ermoeglicht es einem Angreifer, durch speziell praeparierte Datenpakete SQL-Befehle in die Datenbankabfragen des EMS einzuschleusen. Diese Schwachstellenklasse entspricht CWE-89 (SQL Injection), bei der Benutzereingaben ohne ausreichende Bereinigung in SQL-Abfragen eingebettet werden.
SQL Injection in einem Enterprise Management Server ist besonders kritisch, da der EMS haeufig mit einer Datenbank verbunden ist, die sensible Informationen ueber verwaltete Endpunkte, Benutzer und Sicherheitsrichtlinien enthaelt. Ueber die SQL Injection kann ein Angreifer nicht nur Daten auslesen, sondern auch Betriebssystembefehle auf dem Server ausfuehren.
Weitere Informationen: CWE-89 -- SQL Injection
Auswirkungsanalyse
Die Auswirkungen von CVE-2023-48788 sind verheerend, da FortiClient EMS als zentraler Verwaltungsserver fuer alle FortiClient-Endpunkte dient. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H beschreibt die maximale Bedrohungsstufe. Vertraulichkeit (Hoch): Der Angreifer kann ueber SQL Injection saemtliche Daten der EMS-Datenbank auslesen, einschliesslich Endpunkt-Inventare, Sicherheitsrichtlinien, Benutzerkonfigurationen und moegliche Zugangsdaten. Integritaet (Hoch): Durch die Moeglichkeit zur Codeausfuehrung kann der Angreifer den Server kompromittieren, Backdoors installieren, Sicherheitsrichtlinien manipulieren und Malware an verwaltete Endpunkte verteilen. Verfuegbarkeit (Hoch): Der EMS-Server kann deaktiviert werden, wodurch die zentrale Verwaltung aller FortiClient-Endpunkte unterbrochen wird.
Der EPSS-Score von 94,17 % (99,9. Perzentil) und die bestaetigt aktive Nutzung durch Ransomware-Gruppen machen CVE-2023-48788 zu einer der gefaehrlichsten Fortinet-Schwachstellen. Die Kompromittierung des EMS ermoeglicht es Angreifern, die Endpoint-Security-Infrastruktur als Angriffsplattform zu missbrauchen und Ransomware an tausende verwaltete Endpunkte gleichzeitig zu verteilen.
Exploit-Reifegrad
CVE-2023-48788 weist eine ausserordentlich hohe Exploit-Reife auf. Die CISA hat die aktive Ausnutzung bestaetigt und die Schwachstelle mit einer Behebungsfrist bis zum 2024-04-15 in den KEV-Katalog aufgenommen. Der EPSS-Score betraegt 94,17 % (99,9. Perzentil). Die Schwachstelle wird bestaetigt in Ransomware-Angriffen ausgenutzt. Das Fortinet Security Advisory FG-IR-24-007 stellt die offiziellen Patch-Informationen bereit. Mehrere Sicherheitsforscher haben detaillierte technische Analysen veroeffentlicht, und funktionsfaehige Exploits sind in gaengigen Exploit-Frameworks integriert. Die SQL-Injection-Schwachstelle laesst sich relativ einfach ausnutzen, da sie keine Authentifizierung erfordert und ueber standardmaessige SQL-Injection-Techniken angreifbar ist.
Behebung
-
FortiClient EMS umgehend aktualisieren: Installieren Sie die von Fortinet bereitgestellten Sicherheitsupdates. Aktualisieren Sie FortiClient EMS 7.0.x auf Version 7.0.11 oder hoeher und FortiClient EMS 7.2.x auf Version 7.2.3 oder hoeher. Konsultieren Sie das Fortinet Security Advisory FG-IR-24-007 fuer detaillierte Upgrade-Anweisungen.
-
EMS-Server vom Internet isolieren: Stellen Sie sicher, dass der FortiClient EMS-Server nicht direkt aus dem Internet erreichbar ist. Konfigurieren Sie Firewall-Regeln, die den Zugriff auf den EMS-Server ausschliesslich auf autorisierte Netzwerke und Endpunkte beschraenken.
-
Forensische Untersuchung des EMS-Servers: Ueberpruefen Sie den FortiClient EMS-Server auf Anzeichen einer Kompromittierung. Untersuchen Sie Datenbankprotokolle auf verdaechtige SQL-Abfragen, suchen Sie nach unautorisierten Dateien auf dem Server und pruefen Sie die Windows Event Logs auf verdaechtige Prozesse und Netzwerkverbindungen.
-
Endpunkt-Sicherheitsrichtlinien ueberpruefen: Wenn eine Kompromittierung des EMS vermutet wird, ueberpruefen Sie alle ueber den EMS verteilten Sicherheitsrichtlinien auf Manipulationen. Stellen Sie sicher, dass keine unautorisierten Konfigurationsaenderungen an verwaltete Endpunkte verteilt wurden.
-
Zugangsdaten rotieren und Monitoring verstaerken: Aendern Sie alle auf dem EMS-Server konfigurierten Zugangsdaten, einschliesslich Datenbankpasswoerter, Dienstkonten und API-Schluessel. Implementieren Sie verstaerktes Monitoring fuer verdaechtige SQL-Injection-Versuche und ungewoehnliche Datenbankaktivitaeten.
Technische Details
CVE-2023-48788 betrifft Fortinet FortiClient Enterprise Management Server (EMS) in den Versionen 7.0.1 bis 7.0.10 und 7.2.0 bis 7.2.2. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H beschreibt die maximale Bedrohungsstufe. Angriffsvektor (Netzwerk): Die Schwachstelle ist ueber das Netzwerk erreichbar. Angriffskomplexitaet (Niedrig): Standard-SQL-Injection-Techniken sind ausreichend. Berechtigungen (Keine): Keinerlei Authentifizierung erforderlich. Benutzerinteraktion (Keine): Der Angriff laeuft vollstaendig automatisiert ab.
Der Angriffsmechanismus basiert auf einer SQL-Injection-Schwachstelle in der Verarbeitung von Datenpaketen durch den FortiClient EMS. Ein Angreifer sendet speziell praeparierte Datenpakete an den EMS-Server, die SQL-Befehle enthalten, welche in die Datenbankabfragen eingeschleust werden. Da der EMS typischerweise eine Microsoft SQL Server-Datenbank verwendet, kann der Angreifer ueber die SQL-Injection die xp_cmdshell-Prozedur aufrufen oder andere Methoden nutzen, um Betriebssystembefehle auf dem Server auszufuehren. Dies ermoeglicht die vollstaendige Uebernahme des EMS-Servers und potenziell aller verwalteten Endpunkte.
Häufig gestellte Fragen
Wird CVE-2023-48788 fuer Ransomware-Angriffe genutzt?
Ja, die CISA fuehrt den Ransomware-Status explizit als "Known" im KEV-Katalog. Die Schwachstelle wird aktiv von Ransomware-Gruppen ausgenutzt, die ueber kompromittierte FortiClient EMS-Server in Unternehmensnetzwerke eindringen und die Endpoint-Management-Infrastruktur fuer die Verteilung von Ransomware nutzen.
Welche FortiClient EMS-Versionen sind betroffen?
Betroffen sind FortiClient EMS Version 7.0.1 bis 7.0.10 und Version 7.2.0 bis 7.2.2. Die gepatchten Versionen sind 7.0.11 und 7.2.3 oder hoeher. Aeltere Versionen wie FortiClient EMS 6.x sind nicht von dieser spezifischen Schwachstelle betroffen.
Kann ein Angreifer ueber CVE-2023-48788 verwaltete Endpunkte kompromittieren?
Ja, der FortiClient EMS verwaltet zentral alle FortiClient-Installationen in einer Organisation. Ein kompromittierter EMS kann genutzt werden, um Sicherheitsrichtlinien zu manipulieren, Konfigurationsaenderungen an Endpunkte zu verteilen oder Schadsoftware ueber den Verwaltungskanal an tausende Geraete gleichzeitig auszuliefern.
Wie kann ich pruefen, ob mein EMS-Server kompromittiert wurde?
Untersuchen Sie die Datenbankprotokolle auf ungewoehnliche SQL-Abfragen, insbesondere solche mit xp_cmdshell-Aufrufen oder verdaechtigen UNION-SELECT-Anweisungen. Pruefen Sie die Windows Event Logs auf verdaechtige Prozesse, die vom EMS-Dienst gestartet wurden, und suchen Sie nach unbekannten Dateien oder geplanten Aufgaben auf dem Server.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.