Mobile-Menu

CVE-2024-47575 ausgenutzt in freier Wildbahn BSI warnt vor kritischer Schwachstelle im FortiManager

Von Melanie Staudacher 2 min Lesedauer

Anbieter zum Thema

Fsas Technologies GmbH
FAST LTA GmbH
FTAPI Software GmbH

Eine kritische Sicherheitslücke im fgfm-Daemon von FortiManager ermöglicht Angreifern Zugriff auf die zentrale Verwaltung und Steuerung der verbundenen Geräte. Das ist über die Sicherheitslücke bekannt.

Sicherheitsupdates und Workarounds zum Schutz vor der kritischen Sicherheitslücke CVE-2024-47575 in FortiManager-Produkten sollten sofort ausgeführt werden.(Bild: Dall-E / KI-generiert)
Sicherheitsupdates und Workarounds zum Schutz vor der kritischen Sicherheitslücke CVE-2024-47575 in FortiManager-Produkten sollten sofort ausgeführt werden.
(Bild: Dall-E / KI-generiert)

Das BSI warnt vor einer kritischen Zero-Day-Schwachstelle in Fortinets FortiManager. Die Lösung wird zur Verwaltung von Fortinet-Sicherheitsgeräten verwendet. Eine fehlende Authentifizierung für kritische Funktionen ermöglicht es Angreifern, über speziell gestaltete Anfragen beliebigen Code oder beliebige Befehle auszuführen. Angreifende sind dadurch in der Lage, Sicherheitsmechanismen wie Firewalls zu umgehen, Zugriff auf geschützte interne Netzwerke und Ressourcen zu erlangen und Zugangsdaten zu stehlen. Die Sicherheitslücke CVE-2024-47575 hat einen CVSS von 9.8.

Das sind die betroffenen Versionen:

Version Betroffene Weiterentwicklung Patch
FortiManager 7.6 7.6.0/td> 7.6.1 und darüber
FortiManager 7.4 W7.4.0 bis 7.4.4 7.4.5 und darüber
FortiManager 7.2 7.2.0 bis 7.2.7 7.2.8 und darüber
FortiManager 7.0 7.0.0 bis 7.0.12 7.0.13 und darüber
FortiManager 6.4 6.4.0 bis 6.4.14 6.4.15 und darüber
FortiManager 6.2 6.2.0 bis 6.2.12 6.2.13 und darüber
FortiManager Cloud 7.4 7.4.1 bis 7.4.4 7.4.5 und darüber
FortiManager Cloud 7.2 7.2.1 bis 7.2.7/td> 7.2.8 und darüber
FortiManager Cloud 7.0/td> 7.0.1 bis 7.0.12 7.0.13 und darüber
FortiManager Cloud 6.4 7alle Weiterentwicklungen Migireren Sie zu einer korrigierten Version

Zudem sind mindestens eine Schnittstelle mit aktiviertem fgfm-Dienst sowie die FortiAnalyzer-Modelle 1000E, 1000F, 2000E, 3000E, 3000F, 3000G, 3500E, 3500F, 3500G, 3700F, 3700G, 3900E betroffen, sofern sie folgende Funktion aktiviert haben:
config system global
set fmg-status enable
end

CVE-2024-47575 schon länger bekannt

Fortinet selbst veröffentlichte eine Meldung über die Sicherheitslücke CVE-2024-47575 und informierte die Kunden über Sicherheitsupdates und Workarounds. Nach Angaben des Herstellers wird die Schwachstelle bereits aktiv ausgenutzt.

Bekannt sei die Schwachstelle schon seit Februar, als sie von Cyberkriminellen ausgenutzt wurde. Zuerst betraft diese Schwachstelle jedoch nur die durch FortiManager konfigurierbaren Geräte, wie Firewalls und Proxys. Trotz des langen Patchzeitraums sind laut BSI in Deutschland weiterhin noch an die 1000 Fortinet-Geräte vor CVE-2024-23113 ungepatcht.

Die Hersteller Fortinet und Mandiant untersuchten CVE-2024-47575 gemeinsam und fanden heraus, dass die Sicherheitslücke am 27. Juni erstmals ausgenutzt wurde. Mandiant zufolge sei dies ein neues Bedrohungscluster, welches von nun an als „UNC5820“ verfolgt wird. UNC5820 inszenierte und exfiltrierte die Konfigurationsdaten der FortiGate-Geräte, die vom ausgenutzten FortiManager verwaltet wurden. Diese Daten enthalten detaillierte Konfigurations­informationen der verwalteten Geräte sowie der Benutzer und ihrer FortiOS256-gehashten Passwörter. Diese Daten könnten von UNC5820 verwendet werden, um den FortiManager weiter zu kompromittieren, sich seitlich zu den verwalteten Fortinet-Geräten zu bewegen und schließlich die Unternehmensumgebung anzugreifen.

Zum jetzigen Stand der Untersuchungen gebe es allerdings keine Hinweise darauf, dass Cyberkriminelle die erhaltenen Konfigurationsdaten genutzt haben, um sich seitlich zu bewegen und die Umgebung weiter zu kompromittieren. Neben den Sicherheitsupdates, sollten Organisationen, deren FortiManager möglicherweise dem Internet ausgesetzt ist, schnellstmöglich eine forensische Untersuchung durchführen.

(ID:50217252)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte