Das Unternehmen Fortinet hat den Sicherheitshinweis FG-IR-26-185 veröffentlicht, der eine Schwachstelle zur Umgehung der Authentifizierung in der webbasierten Verwaltungsoberfläche von FortiSandbox beschreibt. Die Schwachstelle wurde vom Hersteller mit einem CVSSv3-Score von 9.6 bewertet und ermöglicht es einem entfernten, nicht authentifizierten Angreifer, den Authentifizierungsmechanismus mithilfe speziell präparierter HTTP-Anfragen zu umgehen. Organisationen, die FortiSandbox mit einem aus dem Netzwerk erreichbaren Web-Interface einsetzen, sollten umgehend eine Inventarisierung durchführen und den Zugriff auf das GUI einschränken, bis der Hersteller detaillierte Empfehlungen veröffentlicht.
Technische Details der Schwachstelle
Laut dem Sicherheitshinweis von Fortinet wird die Schwachstelle als Authentication Bypass Using an Alternate Path or Channel (CWE-288) klassifiziert. Dieser Schwachstellen-Typ bedeutet, dass ein Angreifer den primären Authentifizierungsmechanismus umgehen kann, indem er einen alternativen Pfad oder Kanal zum Zugriff auf geschützte Ressourcen nutzt. In diesem Fall besteht der Angriffsvektor aus speziell gestalteten HTTP-Anfragen an das FortiSandbox-GUI.
Zentrale Merkmale:
- ID des Sicherheitshinweises: FG-IR-26-185
- CVSSv3-Bewertung: 9.6 (vom Hersteller vergeben; eine unabhängige Bewertung ist nicht bekannt)
- Betroffene Komponente: webbasierte Verwaltungsoberfläche (GUI) von FortiSandbox
- Angriffsvektor: entfernt, ohne erforderliche Authentifizierung
- CVE-Bezeichner: im Sicherheitshinweis nicht angegeben
Wichtig ist, dass im verfügbaren Sicherheitshinweis keine konkret betroffenen FortiSandbox-Versionen genannt werden und keine Informationen über die Bereitstellung eines Patches veröffentlicht wurden. Der Status einer aktiven Ausnutzung der Schwachstelle ist ebenfalls unklar – im Hinweis fehlen Angaben zur Verwendung dieser Schwachstelle in realen Angriffen.
Einschätzung der Auswirkungen
FortiSandbox ist eine Lösung zur Analyse von Schadsoftware in einer isolierten Umgebung und wird in Unternehmensnetzwerken zur Erkennung fortgeschrittener Bedrohungen eingesetzt. Eine Umgehung der Authentifizierung in der Verwaltungsoberfläche stellt ein erhebliches Risiko dar: Erlangt ein Angreifer unbefugten Zugriff auf das Management-Panel, kann er potenziell die Konfiguration der Sandbox beeinflussen, Erkennungsmechanismen deaktivieren oder Zugriff auf die Ergebnisse der Analyse bösartiger Samples erhalten.
Am stärksten gefährdet sind Organisationen, bei denen das Webinterface von FortiSandbox aus nicht vertrauenswürdigen Netzen oder aus dem Internet erreichbar ist. Da der Angriff keine Authentifizierung voraussetzt und über HTTP-Anfragen erfolgt, ist die Hürde für eine Ausnutzung minimal.
Zuvor haben wir bereits eine Schwachstelle in FortiSandbox analysiert – FG-IR-26-166 mit CVSS-Score 8.9. Die neue Schwachstelle FG-IR-26-185 weist eine noch höhere Kritikalität auf, was auf eine anhaltende Serie von Sicherheitsproblemen in diesem Produkt hindeutet.
Empfehlungen
Da im Sicherheitshinweis bislang keine Informationen zu betroffenen Versionen und verfügbaren Patches veröffentlicht wurden, empfiehlt es sich, den Schwerpunkt zunächst auf die Verringerung der Angriffsfläche zu legen:
- Führen Sie eine Inventarisierung durch aller FortiSandbox-Instanzen in der Infrastruktur und ermitteln Sie, bei welchen davon das GUI aus nicht vertrauenswürdigen Netzsegmenten oder aus dem Internet erreichbar ist.
- Beschränken Sie den Netzwerkzugang zur webbasierten Verwaltungsoberfläche von FortiSandbox – erlauben Sie Verbindungen nur von vertrauenswürdigen IP-Adressen der Administratoren, etwa mithilfe von ACLs auf der Firewall oder integrierten Zugriffsbeschränkungsmechanismen.
- Verstärken Sie das Monitoring – überwachen Sie ungewöhnliche HTTP-Anfragen an die Verwaltungsoberfläche von FortiSandbox und achten Sie dabei insbesondere auf Zugriffsversuche auf unübliche Pfade und Endpunkte.
- Verfolgen Sie Aktualisierungen des Sicherheitshinweises FG-IR-26-185 – Fortinet kann diesen um Informationen zu betroffenen Versionen und veröffentlichten Patches ergänzen.
Angesichts eines CVSSv3-Scores von 9.6 und der Tatsache, dass für die Ausnutzung keine Authentifizierung erforderlich ist, erfordert diese Schwachstelle besondere Priorität. Die wichtigste Maßnahme besteht derzeit darin, sicherzustellen, dass die FortiSandbox-Verwaltungsoberfläche aus nicht vertrauenswürdigen Netzen nicht erreichbar ist, und den Patch umgehend einzuspielen, sobald Fortinet Informationen zu betroffenen Versionen und zum Patch veröffentlicht.
