CVE-2024-55591: Fortinet FortiGate Authentication Bypass Zero-Day
Eine kritische Authentifizierungs-Bypass-Schwachstelle in Fortinet FortiOS und FortiProxy erlaubt einem unauthentifizierten Remote-Angreifer, über präparierte Node.js-Websocket-Modul-Requests Super-Admin-Rechte zu erlangen. CVSS 9.6. Vor der Offenlegung seit November 2024 von Threat-Actors ausgenutzt.
| Attribut | Wert |
|---|---|
| CVE-ID | CVE-2024-55591 |
| CVSS-Vektor | AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H |
| CWE | CWE-288: Authentication Bypass |
| Veröffentlicht | 14. Januar 2025 |
| Ausnutzung | Aktiv — in CISA KEV gelistet |
Was ist CVE-2024-55591?
CVE-2024-55591 ist eine Authentifizierungs-Bypass-Schwachstelle in Fortinets Betriebssystem FortiOS (das FortiGate-Firewalls antreibt) und im FortiProxy-Web-Gateway. Die Schwachstelle entsteht durch fehlerhafte Authentifizierungs-Behandlung im Node.js-basierten Websocket-Modul des Management-Interfaces.
Ein unauthentifizierter Angreifer, der das FortiGate-Management-Interface erreichen kann, kann einen speziell formatierten Websocket-Request erstellen, der die Authentifizierung vollständig umgeht und Super-Administrator-Zugriff gewährt. Mit Super-Admin-Zugriff können Angreifer Firewall-Regeln ändern, neue Admin-Konten anlegen, VPN-Credentials extrahieren und in geschützte Netzwerksegmente pivotieren.
🚨 Zero-Day-Ausnutzungs-Zeitleiste
Forscher von Arctic Wolf identifizierten Ausnutzungs-Kampagnen ab November 2024 — etwa zwei Monate, bevor Fortinet die Schwachstelle öffentlich offenlegte. In diesem Zeitfenster wurden Tausende FortiGate-Geräte kompromittiert. Die Post-Exploitation-Aktivität umfasste das Anlegen lokaler Admin-Konten mit zufälligen Namen, die Änderung von SSL-VPN-Einstellungen zur Ermöglichung unautorisierten Remote-Zugriffs und die Exfiltration von Firewall-Konfigurationen.
Betroffene Produkte
| Produkt | Betroffene Versionen | Behobene Version |
|---|---|---|
| FortiOS | 7.0.0 – 7.0.16 | 7.0.17+ |
| FortiOS | 7.2.0 – 7.2.10 | 7.2.11+ |
| FortiProxy | 7.0.0 – 7.0.19 | 7.0.20+ |
| FortiProxy | 7.2.0 – 7.2.12 | 7.2.13+ |
Technische Analyse
Das FortiOS-Management-Interface stellt eine Web-UI und API auf Port 443 (und manchmal 8443) bereit. Das Node.js-Websocket-Modul, das bestimmte Echtzeit-Management-Funktionen behandelt, enthält eine Authentifizierungsprüfung, die umgangen werden kann, indem Requests mit einer bestimmten präparierten Header-Kombination gesendet werden, die die Authentifizierungs-Middleware fälschlich als bereits validiert interpretiert.
# Proof-of-concept request structure (sanitized)
GET /api/v2/cmdb/system/admin HTTP/1.1
Host: fortigate.target.com
Upgrade: websocket
Connection: Upgrade
X-Forwarded-For: 127.0.0.1
[crafted auth bypass headers]
# Successful bypass returns full admin API access
HTTP/1.1 200 OK
{"results": [{"name":"admin","accprofile":"super_admin",...}]}
Beobachtete Post-Exploitation-Aktivität
Die Incident-Response-Teams von Arctic Wolf und Fortinet dokumentierten konsistente Post-Exploitation-Muster:
- Anlegen neuer lokaler Admin-Konten (oft 6–8 Zeichen lange Zufalls-Strings)
- Hinzufügen angreiferkontrollierter SSL-VPN-Portale zum Management-Interface
- Änderung von VPN-Tunnel-Einstellungen, um Split-Tunneling in Unternehmensnetze zu erlauben
- Export von Firewall-Policy-Konfigurationen zur Enumeration der internen Netzwerktopologie
- Installation von persistentem Zugriff über modifizierte Boot-Konfiguration
Erkennung
FortiGate-Log-Review
# Check for unexpected admin account creation get system admin | grep -A5 "edit " # Review recent login events for anomalies execute log filter category 1 execute log filter field action login execute log display # Check for unauthorized VPN portal additions show vpn ssl settings | grep -i "tunnel-mode\|host\|realm"
Indicators of Compromise
- Admin-Konten mit zufällig wirkenden Namen (z. B.
Gujd,Trca) - Neue VPN-Portale in der SSL-VPN-Konfiguration hinzugefügt
- Unerwartete Firewall-Policy-Änderungen in Logs
- WebSocket-Verbindungen zu
/api/v2/-Endpoints ohne vorherige Authentifizierung
Mitigation
- Sofort patchen: Upgrade auf FortiOS 7.0.17+, 7.2.11+ oder FortiProxy 7.0.20+, 7.2.13+
- HTTP/HTTPS-Management-Zugriff deaktivieren: Nutzen Sie
config system interface / set allowaccess ping sshund entfernen Siehttpsvon internet-gerichteten Interfaces - Management-Zugriff per Quell-IP beschränken: Nutzen Sie die Trusted-Host-Konfiguration, um das Management auf bestimmte Admin-IPs zu begrenzen
- Admin-Konten auditieren: Entfernen Sie unerwartete Konten und rotieren Sie alle Admin-Credentials
- VPN-Konfiguration prüfen: Verifizieren Sie, dass keine unautorisierten Portale oder Tunnel hinzugefügt wurden
- Logging an SIEM aktivieren: Stellen Sie sicher, dass alle Management-Ereignisse an zentralisiertes Logging weitergeleitet werden
💡 Management-Interface-Exposure: Fortinet schätzt, dass rund 150.000 FortiGate-Geräte ihr Management-Interface im Internet exponiert haben. Diese Konfiguration wird von Fortinet ausdrücklich nicht empfohlen. Wenn Sie den Management-Zugriff noch nicht beschränkt haben, tun Sie dies sofort — unabhängig vom Patch-Status.
KENSAI-Erkennungsfähigkeit
- Externe Exposure-Erkennung: KENSAI identifiziert internet-gerichtete FortiGate-Management-Interfaces und markiert für CVE-2024-55591 verwundbare Versionsbereiche
- Sichere Authentifizierungs-Probe: Nicht-destruktiver Test bestätigt den Authentifizierungs-Bypass, ohne Konten anzulegen oder Konfigurationen zu ändern
- Asset-Inventar: Umfassende Kartierung aller Fortinet-Geräte in Ihrer Angriffsfläche
- Kompromittierungs-Indikatoren: Post-Exploitation-IOC-Erkennung über Log-Analyse-Integration
- Remediation-Validierung: Automatisierter Re-Scan bestätigt die Patch-Anwendung und die Beschränkung des Management-Interfaces
Ist Ihr FortiGate-Management-Interface exponiert?
KENSAI identifiziert sofort internet-gerichtete FortiGate- und FortiProxy-Management-Interfaces, die für CVE-2024-55591 verwundbar sind. Keine Agenten, keine Credentials erforderlich.
Ihre Angriffsfläche scannen →