Fortinet repareert kritieke kwetsbaarheid in FortiManager

Fortinet erkent dat er een kritieke kwetsbaarheid in FortiManager zit en heeft updates uitgebracht om het probleem te verhelpen. Het gat werd eerder al opgemerkt door beveiligingsonderzoeker Kevin Beaumont en gebruikers op Reddit.

Het blijkt voor aanvallers mogelijk om een ander serienummer in FortiManager te registreren, waardoor ze authenticatie kunnen omzeilen. Vervolgens kunnen ze toegang krijgen tot de FortiGuard- en FortiManager-omgeving. De kwetsbaarheid, die wordt getrackt als CVE-2024-47575, wordt al misbruikt voor aanvallen waarbij bestanden uit FortiManager worden gestolen. In die bestanden staan configuraties, IP-adressen en inloggegevens voor beheerde apparaten, zegt Fortinet. De kwetsbaarheid krijgt mede daardoor een score van 9,8 op een schaal van 10.

Naar verluidt werd het probleem al op 13 oktober ontdekt. Eerder gingen op diverse sociale media, waaronder Reddit, ook al berichten rond over de actief misbruikte kwetsbaarheid. Sommige gebruikers zeiden ook een e-mail te hebben ontvangen waarin ze ingelicht werden over het probleem en werden aangespoord om de nieuwste update voor FortiManager te installeren. Publiekelijk zei Fortinet echter niets over de kwetsbaarheid, tot er op 23 oktober een security advisory werd gepubliceerd.

In een verklaring aan Tweakers zegt het bedrijf dat het na het identificeren van het probleem 'direct kritieke informatie en bronnen aan klanten heeft gecommuniceerd'. Verder verwijst het bedrijf naar de security advisory, waarin informatie over patches en workarounds staat om het probleem te verhelpen.

Het Nederlandse Nationaal Cyber Security Center waarschuwt dat de fout al misbruikt werd voor er een patch werd uitgebracht. "Het NCSC adviseert om, naast het patchen van uw FortiManager met de beschikbaar gestelde patch, onderzoek te doen aan de hand van beschikbare indicators of compromise om mogelijk misbruik te onderkennen." Wie zulke aanwijzingen voor misbruik ziet, krijgt het advies om accounts te resetten en certificaten te vernieuwen.

Versie	Getroffen	Upgraden naar versie
FortiManager 7.6	7.6.0	7.6.1 of nieuwer
FortiManager 7.4	7.4.0 t/m 7.4.4	7.4.5 of nieuwer
FortiManager 7.2	7.2.0 t/m 7.2.7	7.2.8 of nieuwer
FortiManager 7.0	7.0.0 t/m 7.0.12	7.0.13 of nieuwer
FortiManager 6.4	6.4.0 t/m 6.4.14	6.4.15 of nieuwer
FortiManager 6.2	6.2.0 t/m 6.2.12	6.2.13 of nieuwer
FortiManager Cloud 7.6	Niet getroffen	N.v.t
FortiManager Cloud 7.4	7.4.1 t/m 7.4.4	7.4.5 of nieuwer
FortiManager Cloud 7.2	7.2.1 t/m 7.2.7	7.2.8 of nieuwer
FortiManager Cloud 7.0	7.0.1 t/m 7.0.12	7.0.13 of nieuwer
FortiManager Cloud 6.4	Alle versies	Migreer naar een fixed release

Reacties (35)

[Homer J.Simpson]

Het kan aan mij liggen, maar ik vind dat er de laatste tijd wel heel erg veel kritieke kwetsbaarheden in de Fortinet apparaten zitten? Begin me ernstig af te vragen of vervanging door een alternatief mogelijk een betere optie is...

[CyberTijn]

Dit soort commentaar lees ik onder ieder bericht over kwetsbaarheden in Fortinet apparatuur en ik word er inmiddels een beetje moe van. Fortinet heeft meer dan de helft (!!!) van de NGFW markt in handen en is daarom een interessant doelwit voor hackers. Als je namelijk een kwetsbaarheid vindt heb je een enorme userbase te pakken. Andere vendors hebben ook kwetsbaarheden in hun apparatuur zitten, maar die zijn (nog) niet bekend. Het feit dat deze kwetsbaarheid nu gevonden is in FortiManager zorgt er voor dat het product weer een beetje veiliger wordt.

Je kunt ook een firewall kopen van een minder bekend merk en met een kleiner marktaandeel, maar daar zitten ook kwetsbaarheden in, en de kans is groot dat wanneer die worden uitgebuit ze langer onder de radar blijven.

[ronaldvr]

Onzin, datzelfde geldt voor MS Windows, Linux/ AWS/Azure/Crowdstrike Is een typisch tu quoque argument, sterker: *juist* als je zo groot bent moet je wat aan je QA doen

[BSimpson]

En of ze dat doen...

Daarnaast Fortinet is altijd erg transparant over hun kwetsbaarheden. Als men niet altijd uit gaat van de headlines maar ook zich erin verdiept dan in het overgrote gedeelte van alle kwetsbaarheden worden intern door hun security team gevonden. Heb mij laten vertellen dat dit ongeveer 80-85% van alle kwetsbaarheden zijn.

Ik werk liever met een partij die transparant is, die op zoek gaat naar kwetsbaarheden en ze dan ook verhelpt dan een partij die het niet deelt, het oplost onder de noemer "bug" of die er zelf niet naar op zoek gaat. Want dat is voor mij meteen al een red flag.

[maartenvdezz]

Sorry, maar ik heb sommige debiele vulnerabilities gezien van Forti. Gewoon onveilige programmeerlogica.

Bijv: firewallregel op basis van IP-landlocatie? Dan time je een network packet op het moment van updaten van de localisatiedatabase en dan is er een heel klein timeframe waarop de firewallregel je niet zal blocken. Dat is idioot. Tot het moment dat er nog geen nieuwe database klaarstaat moet ie naar de oude verwijzen.

[PolarBear]

Bijv: firewallregel op basis van IP-landlocatie? Dan time je een network packet op het moment van updaten van de localisatiedatabase en dan is er een heel klein timeframe waarop de firewallregel je niet zal blocken. Dat is idioot. Tot het moment dat er nog geen nieuwe database klaarstaat moet ie naar de oude verwijzen.

Tja aan de andere kant als er iets makkelijk te omzeilen is, is het een IP-landlocatie bepaling. Dus dat zou je sowieso niet als echte laag van je beveiliging moeten gebruiken. Hooguit om wat ruis uit je logging weg te nemen en het laag hangend fruit (qua scanners etc) te blokkeren.

[michelr]

"Daarnaast Fortinet is altijd erg transparant over hun kwetsbaarheden."
Fortinet 23 okt: Media en socials: Kwetsbaarheid! Fortinet:Crickets
Fortinet 24 okt: "Fortinet erkent dat er een kritieke kwetsbaarheid in FortiManager zit"

[BSimpson]

Je vergeet even dat de klanten (wij dus ook) al anderhalve week daarvoor zijn geïnformeerd onder strikte vertrouwelijkheid. Dus ja, ze zijn hier heel transparant over. Dat ze het niet aan de grote klok hangen voordat iedereen de mitigerende maatregelen kan doen lijkt mij een no brainer toch? Je wil niet dat nog meer criminelen weten van dit bestaan.

[oef!]

Heb je nu echt een account aangemaakt om onder een artikel 4 maal Fortinet de hemel in te prijzen?

Klinkt als iets wat een Fortinet PR gepassioneerde Fortinet beheerder zou doen

[GeroldM]

Over transparantie zijn we het wel eens. Maar als de interne afdeling 80-85% van de fouten ontdekt, waarom zitten zij dan niet op een betere plek in het CI/CD proces, waarbij zij problemen al kunnen vangen voordat deze problemen bij klanten worden?

Nogmaals, transparantie is zeer zeker belangrijk. Maar het geeft ook aan dat Forti (in dit geval) niet afdoende leert en zich aanpast om fouten te voorkomen. En dat is iets wat bij beveiligingssoftware juist zeer hoog in het vaandal moet staan, i.p.v. zo snel mogelijk zo automatisch mogelijk nieuwe software + patches distributeren.

Andere soorten software zijn daar ietwat minder gevoelig voor, dus deze kunnen wel de methode 'zo snel mogelijk, zo automatisch mogelijk' hun software distributeren. Beveiligingssoftware dus niet.

[blaatenator]

Daarnaast Fortinet is altijd erg transparant over hun kwetsbaarheden.

Misschien de roze bril afzetten?

En was Fortinet ook niet die partij die 'out of support' hardware bleef verkopen?

[BSimpson]

Nogmaals, dat Fortinet het niet aan de grote klok hangt en publiekelijk rondtoetert wil niet zeggen dat "Vendor isn't talking". Ze waren wel degelijk aan het communiceren, maar naar hun klanten. Wij kregen vanuit Fortinet anderhalve week geleden al bericht met een workaround omdat de patches nog in de maak waren. Deze informatie was strikt vertrouwelijk.

Dit doen ze natuurlijk zodat organisaties zich kunnen beschermen voordat het helemaal openbaar wordt gedeeld en nog meer criminelen met informatie voorzien.

Dus omdat Blaatenator geen bericht heeft ontvangen of gezien op Tweakers. Wil niet zeggen dat ze niet transparant zijn.

[roelboel]

De lekken in Fortinet hebben een geschiedenis van amateurisme en klunzige communicatie daaromtrent.

[kodak]

Het punt is dat de risico's niet gaan om wat je nog meer kan gebruiken maar om wat je wel in gebruik hebt. Daarbij gebruik je dit soort producten juist om risico te beperken, niet omdat het veel in gebruik is of om risico's keer op keer maar te accepteren. Als je dus meer risico's merkt lijkt het me dus eerder de bedoeling te controleren wat je verkopers en leveranciers doen om te zorgen dat je als klanten en gebruikers niet meer last hebben. En aangezien de verkopers en fabrikanten waarschijnlijk niet minder verkoop willen lijkt me het enige realistische antwoord dat ze tonen werkelijk meer te doen tegen dit soort eigen fouten.

[Homer J.Simpson]

Ik begrijp je antwoord niet helemaal: ik mag toch wel m’n zorgen uiten over de kwetsbaarheden in Fortinet producten? Waar denk je dat ik ze voor koop dan?
Ik kan er weinig aan doen dat je daar “moe” van wordt, maar ik zou graag een oplossing g hebben die gewoon goed werkt. Als jij nou -met zoveel woorden- zegt dat men niet moet zeuren, moet jij misschien een ander vak zoeken: Fortinet maakt firewalls die geacht worden om bescherming te bieden. Als daar ernstige kwetsbaarheden in zitten heb ik volgens mij het recht daar iets van te vinden en te vragen om een oplossing die wel werkt. In ieder geval iets beters dan “oh, ik wordt daar zo moe van”.

Man man man…

[CH4OS]

Wat moet men dan doen? Niets en iedereen in het ongewis te laten? Dat gaat ook niet werken. Een ander product is niet per definitie veiliger ook nog eens. Ik vind het goed dat er updates zijn, daardoor wordt het product alleen maar veiliger. Juist met dit soort producten geldt juist dat in het verleden behaalde resultaten, geen garantie zijn voor de toekomst.

Fortinet heeft daarnaast ook meerdere (software)producten, dus in potentie ook meer gaten en veiligheidslekken. Dat maakt dat het bedrijf vaker dit soort artikelen en persberichten heeft bijvoorbeeld.

[Homer J.Simpson]

Nee, en da tis volgens mij ook niet wat ik zeg?

[BSimpson]

Je weet dat Fortinet een Amerikaans bedrijf is he?

"The vast majority of Fortinet’s products are manufactured in the TAA-compliant countries of Taiwan and the United States"

Wij zijn al jaren een trouwe klant. We zijn ook anderhalve week geleden ingelicht met workarounds. Nu is dit voor ons niet van toepassing want onze manager hangt niet aan het internet. Als je dat wel hebt, ben je mijn inziens niet heel goed met je security bezig. Wie hangt er nou het centrale beheer platform aan het publieke internet? Ik begrijp dat er wel een scenario voor is met zero-touch deployment. Maar dan nog ga je dan werken met white-listen van ip addressen of desnoods het afbakenen op geografisch vlak. Als je dat niet doet mag je jezelf flink achter de oren krabben.

Daarnaast Fortinet is altijd erg transparant over hun kwetsbaarheden. Als men niet altijd uit gaat van de headlines maar ook zich erin verdiept dan in het overgrote gedeelte van alle kwetsbaarheden worden intern door hun security team gevonden. Heb mij laten vertellen dat dit ongeveer 80-85% van alle kwetsbaarheden zijn.

Ik werk liever met een partij die transparant is, die op zoek gaat naar kwetsbaarheden en ze dan ook verhelpt dan een partij die het niet deelt, het oplost onder de noemer "bug" of die er zelf niet naar op zoek gaat. Want dat is voor mij meteen al een red flag.

[Shinji]

Van de CCP nog wel, en dat bij een Amerikaans bedrijf.

[themadone]

Met 2 Chinese oprichters die pas op latere leeftijd in Amerika zijn gaan wonen.

[latka]

Bijna heel amerika bestaat uit immigranten... tenzij je software van Navajo indianen afneemt is het import. Vanaf welke generatie beschouwen iemand als genaturaliseerd?

[latka]

Wel een whataboutism over Amerika: https://www.bbc.com/news/world-europe-32542140 die doen dit net zo goed zonder te betalen.

[roelboel]

Helemaal mee eens, het is een eindeloze stroom van kwetsbaarheden. En niet de laatste tijd. Sommige fouten zijn ronduit amateuristisch. Ik ben van mening dat Fortinet je eerder meer dan minder kwetsbaar maakt. En dit gaat al lange tijd terug, ik herinner me nog de backdoor die ze in hun producten hadden, een hardcoded wachtwoord: https://seclists.org/fulldisclosure/2016/Jan/26 acht jaar terug.

[BSimpson]

Ik wil het niet goed praten, dat had natuurlijk nooit mogen gebeuren. Maar net doen of dit alleen bij Fortinet zo is, is natuurlijk beetje je kop in het zand steken.. Andere serieuze "profesionele" partijen hebben dit natuurlijk nooit.......... oh wacht... Vandaag in het nieuws: Cisco

De tweede kritieke kwetsbaarheid (CVE-2024-20412) is aanwezig in de FTD-software van de Firepower 1000, 2100, 3100 en 4200 firewalls. Door de aanwezigheid van een statisch account met een hardcoded wachtwoord kan een ongeauthenticeerde, lokale aanvaller op het systeem inloggen. Vervolgens is het mogelijk gevoelige informatie te stelen, de configuratie aan te passen of het apparaat buiten werking te stellen, zodat het systeem opnieuw geimaged moet worden.
https://www.security.nl/p...n+in+FTD-+en+ASA-software

Wat dacht je van Microsoft die elke patch tuesday meerdere zero-days patcht. Een Crowdstrike dat een market leader is in endpoint security een wereldwijde outage heeft door een stomme fout. Je leeft in een utopie als je denkt dat andere vendoren hier geen last van hebben.

Hoe ze er mee om gaan, dat zegt alles.

[ImmortalSoul]

Als je Fortinet vergelijkt met Palo Alto, dan heeft PA de afgelopen tien jaar 190 vulnerabilities gehad en Fortinet 182. Juniper met zijn Junos had de afgelopen tien jaar zelfs 677 vulnerabilities met ook genoeg CVE's met een score van 9 a 10. Palo Alto had in 2020 zelfs 10x een CVE score van een 9 of 10 welke tot unauthenticated Remote Code Execution kon leiden.

Echter heb ik op Tweakers nog nooit een nieuwsartikel gezien over kwetsbaarheden bij Palo Alto of Juniper (ja, voor Juniper 1 artikel uit 2015), wat ook wel iets zegt.

Bron:
https://www.cvedetails.co...rtios.html?vendor_id=3080
https://www.cvedetails.co...n-os.html?vendor_id=12836
https://www.cvedetails.co...-Junos.html?vendor_id=874

[Reactie gewijzigd door ImmortalSoul op 24 oktober 2024 18:22]

[Anonymoussaurus]

Zeer uitgebreide blogpost over deze kwetsbaarheid: https://doublepulsar.com/...age-via-msps-c79abec59773. Het schijnt dat staatshackers dit lek misbruiken om via managed service providers aanvallen uit te voeren.

[cowbalt]

Ongelooflijk zeg. Je zou toch denken dat dit toch echt een keer goed fout moet gaan met het huidige dreigingslandschap, en het is al op het randje als ik die link van je lees. Ik snap er echt geen snars meer van. Dat dit bedrijf het op de beurs goed blijft doen en overheden en andere organisaties met kritische infrastructuur dit blijkbaar ook nog steeds blijven aanschaffen.

[ManIkWeet]

Wat anders? Investeren in een andere/concurrent... en dan 3 jaar later een vergelijkbaar probleem?
Soms is het beter om "oude"/"bekende" software te gebruiken, waarin alle lekken gedicht zijn.

[OuweDorper]

Misschien is er een gebrek aan een goed alternatief?
Als overheden massaal overstappen naar een alternatief, dan wordt dat alternatief weer interessanter voor kwaadwillende om een lek in te vinden en zal je misschien weer meer van dit soort berichten lezen over het desbetreffende alternatief.

[nexhil]

Dit kreeg ik als mogelijke IOC door van onze Fortinet Partner:

The following log entries are possible IOC's:

type=event,subtype=dvm,pri=information,desc="Device,manager,generic,information,log",user="device, …",msg="Unregistered device localhost add succeeded" device="localhost" adom="FortiManager" session_id=0 operation="Add device" performed_on="localhost" changes="Unregistered device localhost add succeeded"

type=event,subtype=dvm,pri=notice,desc="Device,Manager,dvm,log,at,notice,level",user="System",userfrom="",msg="" adom="root" session_id=0 operation="Modify device" performed_on="localhost" changes="Edited device settings (SN FMG-VMTM23017412)"
Additionally the following IP addresses are possible IOC's: 45.32.41.202 104.238.141.143 158.247.199.37

Lastly, a device registered with the serial number below is a possible IOC: FMG-VMTM23017412

[Cybertinus994]

Sorry hoor, maar wat voor lompe harrie ben je als je je firewall managment software direct bereikbaar maakt vanaf het internet? FortiManager moet alleen bereikbaar zijn voor je FortiGates en je beheerwerkplekken.
Dit is allemaal prima achter VPNs enzo te zetten.
Ik snap niet hoe je FortiManager gehackt kan worden. Dan heb je eerder al verkeerde keuzes gemaakt

[Rhexic]

MSP's maken veel gebruik van de software en maken deze wel online benaderbaar. Als je honderden of duizenden fortigates moet beheren, dan is zon access list of misschien zelfs die duizenden tunnels toch wel wat lastig managen voor beheer.

Dit soort setups zijn dan ook gelijk een perfect doelwit voor dit soort aanvallen.

[Reactie gewijzigd door Rhexic op 24 oktober 2024 23:01]

[Cybertinus994]

Dat iets lastig is, is geen reden om iets dan maar niet te doen en daarmee zo’n cruciaal target maar publiek beschikbaar te maken…
Tuurlijk, je zal een stuk automation nodig hebben als je duizenden Fortigates moet beheren en die allemaal een ipsec tunneltje op moet laten zetten. Maar met de API van Fortimanager en de automation tools die we vandaag hebben is dit allemaal geen rocket science meer