{"id":275895,"date":"2022-12-13T01:13:35","date_gmt":"2022-12-13T00:13:35","guid":{"rendered":"https:\/\/www.borncity.com\/blog\/?p=275895"},"modified":"2022-12-13T02:32:29","modified_gmt":"2022-12-13T01:32:29","slug":"fortiguard-labs-meldet-kritische-sicherheitslcke-in-fortios-wird-ausgenutzt","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2022\/12\/13\/fortiguard-labs-meldet-kritische-sicherheitslcke-in-fortios-wird-ausgenutzt\/","title":{"rendered":"FortiGuard Labs meldet: Kritische Sicherheitslücke CVE-2022-42475 in FortiOS wird ausgenutzt"},"content":{"rendered":"

\"Sicherheit[English<\/a>]Die FortiGuard Labs haben am 12. Dezember 2022 eine kritische Sicherheitsl\u00fccke CVE-2022-42475 in FortiOS gemeldet, die wohl eine Remote Code-Ausf\u00fchrung \u00fcber SSL-VPN erm\u00f6glicht. Das Schlimme daran ist, dass diese Schwachstelle bereits in freier Wildbahn ausgenutzt wird. Der Hersteller\u00a0 hat inzwischen Sicherheitsupdate von FortiOS f\u00fcr die betroffenen Versionen ver\u00f6ffentlicht.<\/p>\n

<\/p>\n

\"\"Ich bin von zwei Blog-Lesern auf dieses Thema hingewiesen worden (danke daf\u00fcr), welches von der FortiGuard Labs im PSIRT Advisory FG-IR-22-398<\/a> dokumentiert wurde. In FortiOS gibt es eine\u00a0 Heap-basierte Puffer\u00fcberlauf-Schwachstelle CVE-2022-42475 in FortiOS SSL-VPN. \u00dcber diese Schwachstelle k\u00f6nnten nicht authentifizierten Angreifer beliebigen Code oder Befehle \u00fcber speziell gestaltete Anfragen auszuf\u00fchren. Die Schwachstelle CVE-2022-42475\u00a0 hat den CVE-Wert 9.3 erhalten. Betroffen sind folgende Fortinet-Produkte:<\/p>\n

FortiOS Version 7.2.0 bis 7.2.2
\nFortiOS Version 7.0.0 bis 7.0.8
\nFortiOS-Versionen 6.4.0 bis 6.4.10
\nFortiOS-Versionen 6.2.0 bis 6.2.11
\nFortiOS-6K7K Version 7.0.0 bis 7.0.7
\nFortiOS-6K7K Version 6.4.0 bis 6.4.9
\nFortiOS-6K7K Version 6.2.0 bis 6.2.11
\nFortiOS-6K7K Version 6.0.0 bis 6.0.14<\/p>\n

Fortinet gibt an, dass bereits ein Fall bekannt ist, in dem diese Schwachstelle in freier Wildbahn ausgenutzt wurde. Der Hersteller empfiehlt, die Systeme sofort auf die folgenden Indikatoren f\u00fcr eine Kompromittierung zu \u00fcberpr\u00fcfen:<\/p>\n

Mehrere Log-Eintr\u00e4ge mit:<\/p>\n

Logdesc=\"Application crashed\" und msg=\"[…] application:sslvpnd,[…], Signal 11 received, Backtrace: […]\"<\/p>\n

Vorhandensein der folgenden Artefakte im Dateisystem:<\/p>\n

\/data\/lib\/libips.bak
\n\/data\/lib\/libgif.so
\n\/data\/lib\/libiptcp.so
\n\/data\/lib\/libipudp.so
\n\/data\/lib\/libjepg.so
\n\/var\/.sslvpnconfigbk
\n\/data\/etc\/wxd.conf
\n\/flash<\/p>\n

Verbindungen zu verd\u00e4chtigen IP-Adressen von FortiGate aus:<\/p>\n

188.34.130.40:444
\n103.131.189.143:30080,30081,30443,20443
\n192.36.119.61:8443,444
\n172.247.168.153:8033<\/p><\/blockquote>\n

Finden sich Hinweise auf Infektionen, ist das System zu s\u00e4ubern (FortiOS clean install). Fortinet empfiehlt die betroffenen Produkte, abh\u00e4ngig von der installierten FotiOS-Version, auf folgende Software-Version zu aktualisieren, um die Schwachstelle zu schlie\u00dfen.<\/p>\n

FortiOS Version 7.2.3 oder h\u00f6her
\nFortiOS Version 7.0.9 oder h\u00f6her
\nFortiOS Version 6.4.11 oder h\u00f6her
\nFortiOS Version 6.2.12 oder h\u00f6her
\nFortiOS-6K7K Version 7.0.8 oder h\u00f6her
\nFortiOS-6K7K Version 6.4.10 oder h\u00f6her
\nFortiOS-6K7K Version 6.2.12 oder h\u00f6her
\nFortiOS-6K7K Version 6.0.15 oder h\u00f6her<\/p>\n

Sicherheitsforscher Will Dormann weist in einem Tweet darauf hin, dass die CVE-2022-42475 noch als \"reserviert\" gekennzeichnet ist. Einige der FortiOS-Updates st\u00e4nden bereits seit einem Monat zur Verf\u00fcgung. So soll das am 3. November 2022 freigegebene FortiOS 6.2.12 gem\u00e4\u00df obiger Liste die Schwachstelle CVE-2022-42475 schlie\u00dfen. In den Release Notes<\/a> ist aber nichts von einer Schwachstelle erw\u00e4hnt worden.<\/p>\n

<\/p>\n

Gleichzeitig hat Dormann einen Tweet von Joe Roosen eingebunden, nach dem die Schwachstelle bereits von Ransomware-Gruppen ausgenutzt werde. Es scheint, als ob Fortinet recht sp\u00e4t mit der Warnung ist – es ist also schnellstm\u00f6gliches handeln angesagt.<\/p>\n

Wie schrieb mir einer der Leser: Bei ihm seien wohl um die 200 Kunden betroffen, da die alle SSL-VPN einsetzen. Er darf jetzt die Kunden benachrichtigen und nachfragen, ob er mit den kostenpflichtigen Fortinet FortiOS-Updates patchen darf. Noch jemand, den dies tangiert?<\/p>\n","protected":false},"excerpt":{"rendered":"

[English]Die FortiGuard Labs haben am 12. Dezember 2022 eine kritische Sicherheitsl\u00fccke CVE-2022-42475 in FortiOS gemeldet, die wohl eine Remote Code-Ausf\u00fchrung \u00fcber SSL-VPN erm\u00f6glicht. Das Schlimme daran ist, dass diese Schwachstelle bereits in freier Wildbahn ausgenutzt wird. Der Hersteller\u00a0 hat inzwischen … Weiterlesen →<\/span><\/a><\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[426],"tags":[4328],"class_list":["post-275895","post","type-post","status-publish","format-standard","hentry","category-sicherheit","tag-sicherheit"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/275895","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=275895"}],"version-history":[{"count":0,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/275895\/revisions"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=275895"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=275895"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=275895"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}