Das Unternehmen Fortinet hat den Sicherheitshinweis FG-IR-26-170 veröffentlicht, der eine kritische Schwachstelle im Web-Portal FortiMonitorOnSight beschreibt. Das Problem wurde mit CVSSv3 9.6 bewertet und hängt mit der Verwendung eines statischen Schlüssels zur Signierung von JWT-Token zusammen, die für die Authentifizierung in der Weboberfläche eingesetzt werden. Ein entfernter, nicht authentifizierter Angreifer kann ein JWT-Token fälschen oder wiederverwenden und so ohne Zugangsdaten auf das System zugreifen. Alle Organisationen, die FortiMonitorOnSight einsetzen, sollten sich umgehend auf dem PSIRT-Portal von Fortinet über aktuelle Patches und betroffene Versionen informieren.
Technische Details der Schwachstelle
Die Schwachstelle ist als CWE-540 — Einbindung sensibler Informationen in Quellcode klassifiziert. Das Kernproblem: Der Schlüssel, mit dem die JWT-Token zur Authentifizierung in der Verwaltungs-Weboberfläche von FortiMonitorOnSight signiert werden, ist statisch – er wird bei der Installation nicht individuell generiert und im laufenden Betrieb nicht rotiert.
Dadurch ergeben sich zwei Angriffsvektoren:
- Fälschung von Token (forged JWT) — gelingt es einem Angreifer, den statischen Schlüssel zu extrahieren (etwa aus Quellcode, Firmware oder per Dekomprimierung/Dekompilierung), kann er selbst gültige JWT mit beliebigen Zugriffsrechten erzeugen.
- Wiederverwendung von Token (reused JWT) — ein abgefangener Token bleibt gültig, da die Signatur mit demselben unveränderten Schlüssel verifiziert wird.
Ein statischer Signaturschlüssel für JWT ist ein grundlegender Architekturfehler. In einer korrekten Implementierung muss der Schlüssel bei der Bereitstellung des Systems kryptographisch zufällig generiert und regelmäßig erneuert werden. Die Verwendung eines im Code fest hinterlegten Schlüssels macht den Authentifizierungsmechanismus faktisch zur Formalität: Jeder, der Zugriff auf den Schlüssel erhält, kann sich als legitimer Benutzer mit beliebigem Privilegienniveau ausgeben.
Der Sicherheitshinweis enthält weder eine CVE-Kennung, noch eine Liste betroffener Versionen oder Informationen zur Verfügbarkeit eines Patches. Ob die Schwachstelle zum Zeitpunkt der Veröffentlichung bereits in realen Angriffen ausgenutzt wird, ist ebenfalls nicht bekannt.
Bewertung der Auswirkungen
Die von Fortinet vergebene CVSSv3-Bewertung von 9.6 weist auf ein kritisches Gefahrenniveau hin. Ein solcher Score ist typisch für Schwachstellen, die eine vollständige Umgehung der Authentifizierung ohne Benutzereingriff und mit Netzwerkangriffsvektor ermöglichen.
FortiMonitorOnSight ist eine Komponente im Monitoring-Ökosystem von Fortinet. Die Kompromittierung des Verwaltungs-Webportals kann einem Angreifer Zugriff auf Infrastruktur-Monitoringdaten, Konfigurationen und – abhängig von der Bereitstellungsarchitektur – die Möglichkeit verschaffen, auf verwaltete Geräte einzuwirken. Organisationen, in denen FortiMonitorOnSight aus dem Internet erreichbar ist, sind dem höchsten Risiko ausgesetzt.
Zuvor haben wir bereits kritische Schwachstellen in Fortinet-Produkten beleuchtet – das vorliegende Problem setzt die Tendenz fort, dass in der Produktlinie des Herstellers schwerwiegende Authentifizierungsfehler entdeckt werden.
Empfehlungen
Da der Sicherheitshinweis von Fortinet derzeit keine Informationen zu betroffenen Versionen und verfügbaren Updates enthält, werden folgende Maßnahmen empfohlen:
- Prüfen Sie, ob FortiMonitorOnSight in Ihrer Infrastruktur eingesetzt wird, und beschränken Sie den Zugriff auf dessen Web-Portal – entfernen Sie den direkten Zugriff aus dem Internet und erlauben Sie Verbindungen nur aus vertrauenswürdigen Netzen oder über ein VPN.
- Verfolgen Sie Updates auf der Seite des Sicherheitshinweises FG-IR-26-170, um Informationen zu Patch und betroffenen Versionen zu erhalten.
- Analysieren Sie die Zugriffsprotokolle der Weboberfläche von FortiMonitorOnSight auf ungewöhnliche Sitzungen – Verbindungen von untypischen IP-Adressen oder mit auffälligen Aktivitätsmustern.
- Spielen Sie den Patch unmittelbar nach seiner Veröffentlichung durch Fortinet ein, angesichts des kritischen Schweregrads der Schwachstelle und der fehlenden Notwendigkeit einer Authentifizierung zu ihrer Ausnutzung.
Bis zur Bereitstellung einer offiziellen Fehlerbehebung besteht die einzige wirksame Schutzmaßnahme in der Netzwerkisolation des FortiMonitorOnSight-Webportals. Angesichts der CVSSv3-Bewertung von 9.6 und der Möglichkeit einer entfernten Ausnutzung ohne Authentifizierung sollte jede aus nicht vertrauenswürdigen Netzen erreichbare Instanz als unmittelbar bedroht gelten. Die Reaktionspriorität ist maximal.
