CVE-2024-55591: Fortinet FortiGate-Authentifizierung umgeht Zero-Day
Eine kritische Sicherheitslücke bei der Authentifizierungsumgehung in Fortinet FortiOS und FortiProxy ermöglicht es einem nicht authentifizierten Remote-Angreifer, über manipulierte Node.js-Websocket-Modulanforderungen Superadministratorrechte zu erlangen. CVSS 9.6. Wird seit November 2024 vor der Offenlegung von Bedrohungsakteuren ausgenutzt.
CVE-2024-55591AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:HWas ist CVE-2024-55591?
CVE-2024-55591 ist eine Sicherheitslücke zur Authentifizierungsumgehung im Fortinet-Betriebssystem FortiOS (das FortiGate-Firewalls unterstützt) und im FortiProxy-Web-Gateway. Die Sicherheitslücke entsteht durch unsachgemäße Authentifizierungsbehandlung im Node.js-basierten Websocket-Modul der Verwaltungsschnittstelle.
Ein nicht authentifizierter Angreifer, der auf die FortiGate-Verwaltungsschnittstelle zugreifen kann, kann eine speziell formatierte Websocket-Anfrage erstellen, die die Authentifizierung vollständig umgeht und ihm Superadministratorzugriff gewährt. Mit Superadministratorzugriff können Angreifer Firewall-Regeln ändern, neue Administratorkonten erstellen, VPN-Anmeldeinformationen extrahieren und in geschützte Netzwerksegmente eindringen.
🚨 Zero-Day-Exploitation-Zeitleiste
Die Forscher von Arctic Wolf identifizierten Ausnutzungskampagnen, die im November 2024 begannen – etwa zwei Monate bevor Fortinet die Schwachstelle öffentlich bekannt gab. In diesem Zeitraum wurden Tausende von FortiGate-Geräten kompromittiert. Zu den Aktivitäten nach der Ausnutzung gehörten die Erstellung lokaler Administratorkonten mit zufälligen Namen, die Änderung der SSL-VPN-Einstellungen, um unbefugten Fernzugriff zu ermöglichen, und die Exfiltration von Firewall-Konfigurationen.
Betroffene Produkte
Technische Analyse
Die FortiOS-Verwaltungsschnittstelle stellt eine Web-Benutzeroberfläche und API auf Port 443 (und manchmal 8443) bereit. Das Node.js-Websocket-Modul, das bestimmte Echtzeitverwaltungsfunktionen verarbeitet, enthält eine Authentifizierungsprüfung, die umgangen werden kann, indem Anforderungen mit einer bestimmten gestalteten Header-Kombination gesendet werden, die von der Authentifizierungs-Middleware fälschlicherweise als bereits validiert interpretiert wird.
# Proof-of-concept request structure (sanitized)
GET /api/v2/cmdb/system/admin HTTP/1.1
Host: fortigate.target.com
Upgrade: websocket
Connection: Upgrade
X-Forwarded-For: 127.0.0.1
[crafted auth bypass headers]
# Successful bypass returns full admin API access
HTTP/1.1 200 OK
{"results": [{"name":"admin","accprofile":"super_admin",...}]}
Beobachtete Aktivität nach der Ausbeutung
Die Vorfallreaktionsteams von Arctic Wolf und Fortinet dokumentierten konsistente Muster nach der Ausbeutung:
- Erstellung neuer lokaler Administratorkonten (häufig zufällige Zeichenfolgen mit 6–8 Zeichen)
- Hinzufügung von von Angreifern kontrollierten SSL-VPN-Portalen zur Verwaltungsoberfläche
- Änderung der VPN-Tunneleinstellungen, um Split-Tunneling in Unternehmensnetzwerke zu ermöglichen
- Export von Firewall-Richtlinienkonfigurationen zur Auflistung der internen Netzwerktopologie
- Installation des persistenten Zugriffs über geänderte Boot-Konfiguration
Erkennung
FortiGate-Protokollüberprüfung
# Check for unexpected admin account creation get system admin | grep -A5 "edit " # Review recent login events for anomalies execute log filter category 1 execute log filter field action login execute log display # Check for unauthorized VPN portal additions show vpn ssl settings | grep -i "tunnel-mode\|host\|realm"
Indikatoren für Kompromisse
- Administratorkonten mit zufällig aussehenden Namen (z. B.
Gujd,Trca) - Neue VPN-Portale zur SSL-VPN-Konfiguration hinzugefügt
- Unerwartete Firewall-Richtlinienänderungen in Protokollen
- WebSocket-Verbindungen zu
/api/v2/-Endpunkten ohne vorherige Authentifizierung
Abhilfe
- Sofort patchen: Upgrade auf FortiOS 7.0.17+, 7.2.11+ oder FortiProxy 7.0.20+, 7.2.13+
- HTTP/HTTPS-Verwaltungszugriff deaktivieren: Verwenden Sie
config system interface / set allowaccess ping sshund entfernen Siehttpsvon den mit dem Internet verbundenen Schnittstellen - Verwaltungszugriff nach Quell-IP beschränken: Verwenden Sie die Konfiguration eines vertrauenswürdigen Hosts, um die Verwaltung auf bestimmte Administrator-IPs zu beschränken
- Administratorkonten prüfen: Entfernen Sie alle unerwarteten Konten und rotieren Sie alle Administratoranmeldeinformationen
- VPN-Konfiguration überprüfen: Stellen Sie sicher, dass keine nicht autorisierten Portale oder Tunnel hinzugefügt wurden
- Protokollierung in SIEM aktivieren: Stellen Sie sicher, dass alle Verwaltungsereignisse an die zentrale Protokollierung weitergeleitet werden
💡 Offenlegung der Verwaltungsschnittstelle: Fortinet schätzt, dass die Verwaltungsschnittstelle von etwa 150.000 FortiGate-Geräten dem Internet ausgesetzt ist. Diese Konfiguration wird von Fortinet ausdrücklich nicht empfohlen. Wenn Sie den Verwaltungszugriff noch nicht eingeschränkt haben, tun Sie dies sofort, unabhängig vom Patch-Status.
KENSAI-Erkennungsfähigkeit
- Erkennung externer Gefährdung: KENSAI identifiziert mit dem Internet verbundene FortiGate-Verwaltungsschnittstellen und markiert CVE-2024-55591 anfällige Versionsbereiche
- Sichere Authentifizierungsprüfung: Der zerstörungsfreie Test bestätigt die Umgehung der Authentifizierung, ohne dass Konten erstellt oder Konfigurationen geändert werden müssen.
- Asset-Inventarisierung: Umfassende Zuordnung aller Fortinet-Geräte in Ihrer Angriffsfläche
- Kompromittierungsindikatoren: IOC-Erkennung nach der Ausnutzung über die Integration der Protokollanalyse
- Behebungsvalidierung: Automatischer erneuter Scan bestätigt Patch-Anwendung und Einschränkungen der Verwaltungsschnittstelle
Ist Ihre FortiGate-Verwaltungsschnittstelle verfügbar?
KENSAI identifiziert sofort mit dem Internet verbundene FortiGate- und FortiProxy-Verwaltungsschnittstellen, die für CVE-2024-55591 anfällig sind. Keine Agenten, keine Anmeldeinformationen erforderlich.
Scannen Sie Ihre Angriffsfläche →