CVE-2024-55591
Fortinet FortiOS and FortiProxy Authentication Bypass Vulnerability
Beschreibung
CVE-2024-55591 ist eine kritische Authentifizierungsumgehung in Fortinet FortiOS und FortiProxy mit einem CVSS-Score von 9.8 (CRITICAL). Die Schwachstelle ermöglicht es einem nicht authentifizierten Remote-Angreifer, über manipulierte Anfragen an das Node.js-WebSocket-Modul Super-Admin-Berechtigungen zu erlangen. Mit einem EPSS-Score von 94,20 % (99,9. Perzentil) gehört diese Schwachstelle zu den am häufigsten ausgenutzten weltweit. Sie ist im CISA KEV-Katalog gelistet und wird nachweislich in Ransomware-Kampagnen eingesetzt.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| fortinet | fortiproxy | >= 7.0.0, < 7.0.20; >= 7.2.0, < 7.2.13 |
| fortinet | fortios | >= 7.0.0, < 7.0.17 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://fortiguard.fortinet.com/psirt/FG-IR-24-535(Mitigation, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2024-55591(US Government Resource)
Schwachstellentyp
CWE-288: Authentifizierungsumgehung über alternativen Pfad oder Kanal
CWE-288 beschreibt eine Schwachstelle, bei der ein Authentifizierungsmechanismus über einen alternativen Pfad oder Kommunikationskanal umgangen werden kann. Im Fall von CVE-2024-55591 nutzt der Angreifer das Node.js-WebSocket-Modul als alternativen Kanal, um die reguläre Authentifizierung zu umgehen und direkt Super-Admin-Berechtigungen zu erlangen. Dies ist besonders gefährlich, da der alternative Pfad die gleichen privilegierten Funktionen bereitstellt wie der geschützte Hauptpfad. Mehr erfahren
Auswirkungsanalyse
Die Auswirkungen dieser Schwachstelle sind verheerend. Der Netzwerk-Angriffsvektor (AV:N) in Kombination mit fehlenden Authentifizierungsanforderungen (PR:N) und keiner erforderlichen Benutzerinteraktion (UI:N) ermöglicht eine vollständig ferngesteuerte Kompromittierung. Vertraulichkeit, Integrität und Verfügbarkeit sind alle mit "High" bewertet, was die vollständige Übernahme des betroffenen Geräts bedeutet. Da FortiOS und FortiProxy typischerweise am Netzwerkperimeter eingesetzt werden, kann eine Kompromittierung den gesamten Netzwerkzugang eines Unternehmens gefährden. Ein Angreifer mit Super-Admin-Rechten auf einer Fortinet-Firewall kann Sicherheitsrichtlinien deaktivieren, VPN-Zugänge einrichten, Datenverkehr umleiten und als Sprungbrett für laterale Bewegungen im internen Netzwerk dienen. Der EPSS-Score von 94,20 % (99,9. Perzentil) signalisiert eine extreme Ausnutzungswahrscheinlichkeit. Die bestätigte Nutzung in Ransomware-Kampagnen macht die Schwachstelle zu einer der gefährlichsten Fortinet-Sicherheitslücken der letzten Jahre.
Exploit-Reifegrad
Die Exploit-Reife für CVE-2024-55591 ist maximal. Die Schwachstelle wurde von CISA in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 21.01.2025. Der EPSS-Score von 94,20 % (99,9. Perzentil) platziert sie unter den am aktivsten ausgenutzten Schwachstellen weltweit. Besonders alarmierend ist die bestätigte Verwendung in Ransomware-Operationen — Ransomware-Gruppen nutzen die Schwachstelle gezielt, um Zugang zu Unternehmensnetzwerken über kompromittierte Fortinet-Firewalls zu erlangen. Fortinet hat in seinem Advisory FG-IR-24-535 Mitigierungsmaßnahmen veröffentlicht. Die Kombination aus fehlender Authentifizierungsanforderung, Netzwerkzugänglichkeit und der Möglichkeit, Super-Admin-Rechte zu erlangen, macht diese Schwachstelle zu einem bevorzugten Einstiegspunkt für organisierte Cyberkriminelle.
Behebung
-
FortiOS und FortiProxy aktualisieren — Aktualisieren Sie umgehend auf die gepatchten Versionen: FortiOS 7.0.17 oder höher, FortiProxy 7.0.20 oder höher bzw. FortiProxy 7.2.13 oder höher. Details und Patches sind im Fortinet Advisory FG-IR-24-535 verfügbar.
-
Management-Zugriff einschränken — Deaktivieren Sie den HTTP/HTTPS-Verwaltungszugriff auf der WAN-Schnittstelle sofort, falls ein Patching nicht unmittelbar möglich ist. Beschränken Sie den Zugriff auf die Verwaltungsoberfläche auf vertrauenswürdige IP-Adressen über Local-In-Policies.
-
Kompromittierungsindikatoren prüfen — Untersuchen Sie Protokolle auf nicht autorisierte Admin-Anmeldungen und Konfigurationsänderungen. Suchen Sie nach verdächtigen WebSocket-Verbindungen und unbekannten Admin-Konten, die auf eine bereits erfolgte Ausnutzung hindeuten könnten.
-
Netzwerksegmentierung überprüfen — Stellen Sie sicher, dass kompromittierte Fortinet-Geräte keinen unkontrollierten Zugang zum internen Netzwerk ermöglichen. Implementieren Sie Mikrosegmentierung, um den potenziellen Schaden bei einer Kompromittierung zu begrenzen.
-
Incident-Response-Plan aktivieren — Angesichts der bestätigten Ransomware-Nutzung sollten Organisationen ihren Incident-Response-Plan vorbereiten und Backup-Systeme auf Integrität prüfen, falls eine Kompromittierung vermutet wird.
Technische Details
Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H beschreibt eine maximal gefährliche Remote-Schwachstelle. Angriffsvektor (AV:N) erlaubt die Ausnutzung über das Netzwerk ohne physischen Zugang. Angriffskomplexität (AC:L) bedeutet, dass keine besonderen Bedingungen erforderlich sind. Erforderliche Berechtigungen (PR:N) zeigen, dass keinerlei Authentifizierung notwendig ist — der Angreifer benötigt nur Netzwerkzugang zur Verwaltungsschnittstelle. Der technische Angriffsmechanismus basiert auf CWE-288 (Authentication Bypass Using an Alternate Path). Der Angreifer sendet speziell manipulierte Anfragen an das Node.js-WebSocket-Modul von FortiOS/FortiProxy, das als alternativer Kommunikationskanal neben der regulären HTTP/HTTPS-Verwaltungsschnittstelle existiert. Dieser WebSocket-Endpunkt umgeht die normale Authentifizierungslogik und ermöglicht es dem Angreifer, direkt Super-Admin-Berechtigungen zu erlangen. Betroffen sind FortiOS 7.0.0 bis 7.0.16, FortiProxy 7.0.0 bis 7.0.19 und FortiProxy 7.2.0 bis 7.2.12.
Häufig gestellte Fragen
Was bedeutet Super-Admin-Zugriff auf einer Fortinet-Firewall?
Super-Admin ist die höchste Berechtigungsstufe auf FortiOS-Geräten. Ein Angreifer mit diesen Rechten kann Firewall-Regeln ändern, VPN-Tunnel erstellen, Sicherheitsfunktionen deaktivieren, Datenverkehr umleiten und beliebige Konfigurationsänderungen vornehmen. Dies ermöglicht die vollständige Kontrolle über die Netzwerksicherheit.
Wird CVE-2024-55591 tatsächlich in Ransomware-Angriffen eingesetzt?
Ja, CISA hat bestätigt, dass diese Schwachstelle in Ransomware-Kampagnen eingesetzt wird (Ransomware-Status: "Known"). Angreifer nutzen kompromittierte Fortinet-Firewalls als Einstiegspunkt in Unternehmensnetzwerke, um anschließend Ransomware zu verbreiten.
Ist mein FortiOS betroffen, wenn ich Version 7.2 oder höher verwende?
CVE-2024-55591 betrifft FortiOS 7.0.0 bis 7.0.16. FortiOS 7.2.x und höher sind nicht betroffen. FortiProxy ist in den Versionen 7.0.0 bis 7.0.19 und 7.2.0 bis 7.2.12 betroffen. Prüfen Sie Ihre exakte Version und aktualisieren Sie bei Bedarf.
Wie kann ich prüfen, ob mein System bereits kompromittiert wurde?
Überprüfen Sie die Admin-Anmeldeprotokolle auf unbekannte Benutzer, suchen Sie nach kürzlich erstellten Admin-Konten und prüfen Sie Konfigurationsänderungen. Achten Sie insbesondere auf verdächtige WebSocket-Verbindungen und unerwartete Policy-Änderungen.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.