CVE-2024-23113
Fortinet Multiple Products Format String Vulnerability
Beschreibung
CVE-2024-23113 ist eine kritische Format-String-Schwachstelle in mehreren Fortinet-Produkten, darunter FortiOS, FortiProxy, FortiPAM und FortiSwitchManager. Ein nicht authentifizierter Angreifer kann durch die Verwendung von extern kontrollierten Format-Strings beliebigen Code ausführen. Mit einem CVSS-Score von 9.8 (Kritisch), einem EPSS-Wert von 51,8 % (97,8. Perzentil) und der Aufnahme in den CISA KEV-Katalog stellt diese Schwachstelle eine akute Bedrohung für Unternehmen dar, die Fortinet-Produkte einsetzen.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| fortinet | fortiproxy | >= 7.0.0, <= 7.0.14; >= 7.2.0, <= 7.2.8; >= 7.4.0, <= 7.4.2 |
| fortinet | fortiswitchmanager | >= 7.0.0, <= 7.0.3; >= 7.2.0, <= 7.2.3 |
| fortinet | fortios | >= 7.0.0, <= 7.0.13; >= 7.2.0, <= 7.2.6; >= 7.4.0, <= 7.4.2 |
| fortinet | fortipam | >= 1.0.0, <= 1.0.3; >= 1.1.0, <= 1.1.2; 1.2.0 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://fortiguard.com/psirt/FG-IR-24-029(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2024-23113(US Government Resource)
Schwachstellentyp
Verwendung extern kontrollierter Format-Strings
Die Schwachstelle basiert auf der Verwendung von extern kontrollierten Format-Strings (Externally-Controlled Format String). Bei dieser Art von Schwachstelle werden Benutzereingaben direkt als Format-String-Parameter in Funktionen wie printf() verwendet, anstatt als Datenparameter übergeben zu werden. Ein Angreifer kann spezielle Format-Spezifizierer einschleusen, um den Speicher auszulesen, zu überschreiben und letztendlich beliebigen Code auszuführen. Diese Schwachstellenklasse wird unter CWE-134: Use of Externally-Controlled Format String klassifiziert. Mehr erfahren: CWE-134 bei turingpoint
Auswirkungsanalyse
Die Auswirkungen von CVE-2024-23113 sind auf allen drei Sicherheitsebenen als maximal einzustufen. Vertraulichkeit: Ein Angreifer kann über die Format-String-Schwachstelle den Speicher des betroffenen Systems auslesen und nach erfolgreicher Code-Ausführung auf alle Konfigurationsdaten, Zugangsdaten und Netzwerkinformationen zugreifen. Bei FortiOS-Geräten umfasst dies Firewall-Regeln, VPN-Konfigurationen und gespeicherte Zugangsdaten. Integrität: Die Remote Code Execution ermöglicht das Manipulieren von Konfigurationen, das Einschleusen von Backdoors und die Veränderung von Firewall-Regeln, was die gesamte Netzwerksicherheit untergräbt. Verfügbarkeit: Betroffene Geräte können destabilisiert oder vollständig kompromittiert werden, was zum Ausfall kritischer Netzwerkinfrastruktur führen kann. Der EPSS-Score von 51,8 % im 97,8. Perzentil zeigt eine hohe Ausnutzungswahrscheinlichkeit. Die Verbindung zu Ransomware wird derzeit als unbekannt eingestuft, jedoch sind Fortinet-Geräte als Netzwerk-Perimeter-Geräte bevorzugte Ziele für den initialen Zugang in Unternehmensnetzwerke.
Exploit-Reifegrad
CVE-2024-23113 wird aktiv ausgenutzt und wurde in den CISA Known Exploited Vulnerabilities (KEV) Katalog aufgenommen, mit einer Behebungsfrist bis zum 30. Oktober 2024. Der EPSS-Score von 51,8 % im 97,8. Perzentil unterstreicht die hohe Ausnutzungswahrscheinlichkeit. Fortinet hat die Schwachstelle in seinem Advisory FG-IR-24-029 dokumentiert und Patches bereitgestellt. Die breite Angriffsfläche -- vier verschiedene Fortinet-Produkte sind betroffen -- und die Möglichkeit der unauthentifizierten Ausnutzung machen diese Schwachstelle besonders attraktiv für Angreifer. Der Zusammenhang mit Ransomware wird als unbekannt eingestuft, jedoch werden Fortinet-Schwachstellen regelmäßig von Ransomware-Akteuren und staatlichen Bedrohungsgruppen ausgenutzt.
Behebung
- Fortinet-Produkte sofort aktualisieren: Aktualisieren Sie FortiOS auf Version 7.0.14+, 7.2.7+ oder 7.4.3+. Für FortiProxy aktualisieren Sie auf 7.0.15+, 7.2.9+ oder 7.4.3+. FortiPAM sollte auf 1.0.4+, 1.1.3+ oder 1.2.1+ aktualisiert werden. FortiSwitchManager auf 7.0.4+ oder 7.2.4+. Detaillierte Versionsinformationen finden Sie im Fortinet Advisory FG-IR-24-029.
- Workarounds prüfen (falls sofortiges Update nicht möglich): Konsultieren Sie das Fortinet Advisory für temporäre Gegenmaßnahmen, die die Angriffsfläche reduzieren können.
- Netzwerkzugriff einschränken: Stellen Sie sicher, dass Management-Interfaces der Fortinet-Geräte nicht aus dem Internet erreichbar sind. Verwenden Sie dedizierte Management-Netzwerke.
- Kompromittierungsindikatoren prüfen: Untersuchen Sie Logs der betroffenen Geräte auf verdächtige Aktivitäten, insbesondere ungewöhnliche Format-String-Eingaben und unautorisierte Zugriffe.
- Zugangsdaten rotieren: Nach dem Update sollten alle auf den betroffenen Geräten gespeicherten Zugangsdaten und Zertifikate erneuert werden, einschließlich VPN-Zugänge, LDAP-Anbindungen und API-Schlüssel.
Technische Details
Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H ergibt einen Score von 9.8 (Kritisch). Angriffsvektor (AV:N): Die Schwachstelle ist über das Netzwerk ausnutzbar. Angriffskomplexität (AC:L): Die Ausnutzung erfordert keine besonderen Bedingungen. Erforderliche Berechtigungen (PR:N): Keine Authentifizierung erforderlich. Benutzerinteraktion (UI:N): Keine Benutzerinteraktion notwendig. Scope (S:U): Die Auswirkungen bleiben im Sicherheitskontext der betroffenen Komponente. Auswirkungen: Vertraulichkeit, Integrität und Verfügbarkeit sind jeweils maximal betroffen (C:H/I:H/A:H). Der Angriffsmechanismus nutzt eine Format-String-Schwachstelle in den betroffenen Fortinet-Produkten aus. Bei einer Format-String-Schwachstelle werden Benutzereingaben als Format-String-Parameter interpretiert, anstatt als Daten behandelt zu werden. Durch das Einschleusen von Format-Spezifizierern wie %x (Speicher auslesen), %n (Speicher schreiben) oder %s (String dereferenzieren) kann ein Angreifer den Programmfluss manipulieren und beliebigen Code im Kontext des betroffenen Dienstes ausführen.
Häufig gestellte Fragen
Was ist CVE-2024-23113?
CVE-2024-23113 ist eine kritische Format-String-Schwachstelle in mehreren Fortinet-Produkten, darunter FortiOS, FortiProxy, FortiPAM und FortiSwitchManager. Sie ermöglicht es nicht authentifizierten Angreifern, über das Netzwerk beliebigen Code auszuführen. Der CVSS-Score beträgt 9.8 (Kritisch).
Welche Fortinet-Produkte sind betroffen?
Betroffen sind FortiOS (7.0.0-7.0.13, 7.2.0-7.2.6, 7.4.0-7.4.2), FortiProxy (7.0.0-7.0.14, 7.2.0-7.2.8, 7.4.0-7.4.2), FortiPAM (1.0.0-1.0.3, 1.1.0-1.1.2, 1.2.0) und FortiSwitchManager (7.0.0-7.0.3, 7.2.0-7.2.3).
Was ist eine Format-String-Schwachstelle?
Eine Format-String-Schwachstelle entsteht, wenn Benutzereingaben direkt als Format-String in Ausgabefunktionen verwendet werden. Angreifer können spezielle Formatierungszeichen einschleusen, um Speicherinhalte zu lesen oder zu überschreiben und so beliebigen Code auszuführen.
Wie dringend ist das Patching?
Extrem dringend. Die Schwachstelle hat einen CVSS-Score von 9.8, wird aktiv ausgenutzt, erfordert keine Authentifizierung und ist im CISA KEV-Katalog gelistet. Fortinet-Geräte sind als Netzwerk-Perimeter-Geräte besonders exponiert und sollten höchste Patch-Priorität erhalten.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.