Mobile-Menu

Lesezugriff trotz Patch Neue Angriffstechnik auf FortiGate-Systeme entdeckt

Von Thomas Joos 1 min Lesedauer

Anbieter zum Thema

PresseBox - unn | UNITED NEWS NETWORK GmbH
Fsas Technologies GmbH
FTAPI Software GmbH

Gezielte Angriffe auf ungepatchte Sicherheitslücken gehören inzwischen zum Standardrepertoire vieler Bedrohungsakteure. Fortinet hat nun eine neue Technik aufgedeckt, mit der sich Angreifer trotz geschlossener Schwachstelle dauerhaft Zugriff auf bestimmte FortiGate-Geräte sichern konnten.

Im Mittelpunkt der Angriffe auf die FortiGate-Systeme steht eine ungewöhnliche Post-Exploitation-Technik.(Bild: Sergey Nivens - stock.adobe.com)
Im Mittelpunkt der Angriffe auf die FortiGate-Systeme steht eine ungewöhnliche Post-Exploitation-Technik.
(Bild: Sergey Nivens - stock.adobe.com)

Fortinet hat eine neue Angriffsmethode identifiziert, mit der Bedrohungsakteure gezielt FortiGate-Geräte kompromittieren. Dabei nutzen sie bekannte, jedoch nicht gepatchte Schwachstellen aus, um sich dauerhaft Lesezugriff zu verschaffen, selbst nach einem regulären Update. Die Schwachstelle betrifft ausschließlich Geräte, auf denen das SSL-VPN-Modul aktiviert war. Systeme ohne aktiviertes SSL-VPN bleiben von diesem Angriff verschont.

Das steckt hinter den neuen Angriffssystemen

Im Mittelpunkt der Angriffe steht eine ungewöhnliche Post-Exploitation-Technik. Angreifer legen einen symbolischen Link im Benutzer-Dateisystem an, der auf das Root-Dateisystem verweist. Dieser Link platzierte sich in einem Verzeichnis, das eigentlich Sprachdateien für die SSL-VPN-Funktion verwaltet. Dadurch bleibt die Manipulation für herkömmliche Prüfmechanismen unsichtbar. Auch nach der Schließung der ursprünglichen Sicherheitslücke bleibt der Zugriff bestehen, allerdings nur auf Leseebene. So können Angreifer Konfigurationsdateien einsehen, aber nicht verändern.

Fortinet erweitert Sicherheitsmechanismen

Fortinet reagierte auf den Vorfall. Die Sicherheitsmechanismen in aktuellen FortiOS-Versionen wurden erweitert. Ab den Versionen 7.6.2, 7.4.7, 7.2.11, 7.0.17 und 6.4.16 wird der symbolische Link automatisch erkannt und entfernt. Parallel dazu wurden AV/IPS-Signaturen bereitgestellt, die das Erkennen und Löschen dieser Manipulation ermöglichen, vorausgesetzt, das entsprechende Modul ist lizenziert und aktiv. Zudem wurde die SSL-VPN-Benutzeroberfläche so angepasst, dass sie keine Dateien außerhalb des vorgesehenen Verzeichnisses mehr bereitstellt.

Fortinet hat betroffene Kunden direkt informiert. Unternehmen, bei denen das SSL-VPN aktiv war, sollten in jedem Fall ein Upgrade auf eine der genannten Versionen durchführen. Zusätzlich wird empfohlen, sämtliche Konfigurationen der betroffenen Geräte als potenziell kompromittiert zu behandeln.

Laut FortiGuard Labs liegt die durchschnittliche Zeitspanne zwischen Veröffentlichung und Ausnutzung einer Schwachstelle aktuell bei weniger als fünf Tagen. Fortinet betont daher die Bedeutung einer konsequenten Update-Strategie. Neben den beschriebenen Maßnahmen wurden weitere Sicherheitsfunktionen implementiert, etwa BIOS-basierte Integritätsprüfungen, virtuelle Patches oder automatisierte Firmware-Validierung.

(ID:50392268)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte