CISA und Fortinet warnen vor FortiOS Zero-Day Sicherheitslücken

Der Netzwerksicherheitsanbieter Fortinet hat in der vergangenen Woche Sicherheitsupdates veröffentlicht, um zwei kritische Sicherheitslücken (CVE-2024-21762, CVE-2024-23313) in FortiOS zu beheben, die die Ausführung von Remote-Code ermöglichen und damit von Cyberkriminellen ausgenutzt werden könnten, um betroffene Systeme zu kontrollieren. Nutzer sollten diese Patches schnellstmöglich einspielen, denn eine der Sicherheitslücken wird bereits von Cyberkriminellen ausgenutzt.

Auch die US-Behörde für Cybersicherheit und Infrastruktursicherheit (CISA) warnt vor den Angriffen und hat am 9. Februar 2024 ihren KEV-Katalog (Known Exploited Vulnerabilities) aktualisiert und CVE-2024-21762 hinzugefügt. Die CISA bestätigte damit, dass die mehrere Versionen von FortiOS betreffende Sicherheitslücke aktiv für Angriffe ausgenutzt wird.

Laut Fortinet handelt es sich bei CVE-2024-21762 um eine kritische Schwachstelle in SSL VPN. Sie ermöglicht es nicht authentifizierten Akteuren remote beliebigen Code durch speziell entworfene HTTP-Anfragen auszuführen. Bei der zweiten Sicherheitslücke CVE-2024-23113 handelt es sich um einen Format-String-Bug, der ebenfalls die Ausführung von beliebigem Code und Befehlen ermöglicht. Es gibt jedoch keine Hinweise darauf, dass diese Schwachstelle bereits in freier Wildbahn ausgenutzt wird.

Die Schwachstellen betreffen die Versionen 6.0, 6.2, 6.4, 7.0, 7.2 und 7.4. Fortinet hat für jede betroffene Version Patches veröffentlicht, mit Ausnahme der Version 6.0, für die den Benutzern empfohlen wird, auf eine neuere Version zu migrieren. Die aktuelle Version FortiOS 7.6 ist offenbar nicht betroffen

Fortinet betonte, dass die Sicherheit seiner Kunden immer im Vordergrund stünde und dass man eine Kultur der Transparenz und der Zusammenarbeit mit Sicherheitsforschern etabliert habe. Dennoch hat die Entdeckung kritischer Schwachstellen im Fortinet-Betriebssystem in der Cybersicherheitsgemeinschaft Besorgnis ausgelöst. Die CISA hatte bereits früher aufgedeckt, dass eine mit China verbundene Bedrohungsgruppe namens Volt Typhoon Schwachstellen in Netzwerkgeräten verschiedener Hersteller, darunter Fortinet, Citrix, Cisco, Ivanti und NetGear, ausnutzt und auf diese Art seit mindestens fünf Jahren seine Opfer infiltriert. In einem von den niederländischen Behörden entdeckten Fall verschaffte sich die Gruppe wahrscheinlich zunächst Zugang, indem sie eine weitere Sicherheitslücke in einer ungepatchten FortiGate 300D-Firewall ausnutzte.

In Anbetracht der Tatsache, dass die aktuelle Sicherheitslücke bereits von Kriminellen für ihre Zwecke ausgenutzt wird und sie sowohl durch die Veröffentlichung der Patches von Fortinet als auch durch die Aufnahme in das KEV-Verzeichnis der CISA weite Bekanntheit erlangt hat, sollten Nutzer die Sicherheitsupdates so schnell wie möglich einspielen, denn es ist zu befürchten, dass immer mehr Hacker sich auf die Suche nach ungepatchten FortiOS-Systemen machen werden. Administratoren, die die Patches nicht sofort umsetzen können, haben die Möglichkeit, den Angriffsvektor zu entfernen, indem sie SSL VPN auf dem Gerät deaktivieren.

‍

Bild (c) Adi Goldstein / Unsplash