Fortinet hat einen Sicherheitshinweis FG-IR-26-174 veröffentlicht, in dem eine Schwachstelle der fehlerhaften Zertifikatsvalidierung (CWE-295) im Agentless ZTNA-Portal von FortiOS und FortiProxy beschrieben wird. Der Hersteller bewertet die Schwachstelle mit CVSSv3 7.3 (hohe Kritikalität). Dem Sicherheitshinweis zufolge ermöglicht sie einem entfernten, nicht authentifizierten Angreifer eine Man-in-the-Middle-Attacke auf den Kommunikationskanal zwischen dem ZTNA-Portal und dem Ziel-Backend-Server. Organisationen, die Agentless ZTNA über FortiOS oder FortiProxy nutzen, sollten umgehend den vollständigen Text des Sicherheitshinweises konsultieren, um die betroffenen Versionen und verfügbare Updates zu bestimmen.
Technische Details der Schwachstelle
Die Schwachstelle gehört zur Klasse CWE-295 — Improper Certificate Validation (fehlerhafte Zertifikatsvalidierung). Das Kernproblem: Das Agentless ZTNA-Portal von FortiOS und FortiProxy prüft Zertifikate beim Aufbau einer Verbindung zu Backend-Servern – den Webanwendungen, an die das ZTNA-Portal den Benutzertraffic weiterleitet – nicht ausreichend.
Das bedeutet, dass sich ein Angreifer, der eine Position zwischen dem ZTNA-Portal und dem Ziel-Backend-Server einnehmen kann, in der Lage sieht, die übertragenen Daten abzufangen, zu lesen und zu verändern. Wichtig hervorzuheben: Laut Sicherheitshinweis von Fortinet ist für die Ausnutzung keine Authentifizierung erforderlich.
Betroffene Produkte laut Sicherheitshinweis:
- FortiOS – Betriebssystem der FortiGate-Geräte
- FortiProxy – Proxy-Lösung von Fortinet
Die konkreten Bereiche der betroffenen Versionen und die Nummern der fehlerbereinigten Releases sind im bereitgestellten Text des Sicherheitshinweises nicht angegeben. Ein CVE-Bezeichner wurde im verfügbaren Inhalt des Sicherheitshinweises ebenfalls nicht veröffentlicht. Der Status einer aktiven Ausnutzung ist derzeit unbekannt.
Bewertung der Auswirkung
Das Agentless ZTNA-Portal ist eine Komponente der Zero Trust Network Access-Architektur, die es Nutzern ermöglicht, über den Browser ohne Agent-Installation auf dem Endgerät auf interne Webanwendungen zuzugreifen. Das Portal fungiert als Vermittler zwischen Benutzer und Backend-Server, und genau dieser Abschnitt – zwischen Portal und Backend – erweist sich als verwundbar.
Eine erfolgreiche MITM-Attacke auf diesem Abschnitt ermöglicht es einem Angreifer potenziell:
- Daten abzufangen, die zwischen Portal und geschützten Anwendungen übertragen werden, einschließlich Zugangsdaten und vertraulicher Informationen
- Antworten der Backend-Server zu verändern und schädliche Inhalte einzuschleusen
- Sitzungen von Nutzern zu kompromittieren, die über das ZTNA-Portal arbeiten
Am stärksten gefährdet sind Organisationen, die Agentless ZTNA-Zugriff auf kritische interne Anwendungen bereitstellen, insbesondere in Szenarien, in denen der Netzwerkpfad zwischen FortiGate/FortiProxy und den Backend-Servern durch nicht vertrauenswürdige Netzsegmente verläuft.
Empfehlungen
- Prüfen Sie, ob in Ihrer Infrastruktur ein Agentless-ZTNA-Modus über FortiOS oder FortiProxy eingesetzt wird
- Lesen Sie den vollständigen Sicherheitshinweis FG-IR-26-174 auf dem FortiGuard-PSIRT-Portal, um Informationen zu betroffenen Versionen und verfügbaren Updates zu erhalten
- Verfolgen Sie Aktualisierungen auf der Seite der PSIRT-Sicherheitshinweise von Fortinet, da der Hinweis um Details zu betroffenen Versionen und Patches ergänzt werden kann
- Bewerten Sie als Übergangsmaßnahme die Möglichkeit einer zusätzlichen Netzsegmentierung zwischen dem ZTNA-Portal und den Backend-Servern, um die Angriffsfläche in diesem Abschnitt zu minimieren
Zuvor haben wir bereits über kritische Schwachstellen in Produkten von Fortinet berichtet – der aktuelle Sicherheitshinweis bestätigt, dass die Produktlinien FortiOS und FortiProxy weiterhin regelmäßig Sicherheitsupdates erhalten.
Die CVSSv3-Bewertung von 7.3 weist auf eine hohe Kritikalität hin, und das Fehlen einer Authentifizierungsanforderung senkt die Einstiegshürde für einen Angreifer. Organisationen, die Agentless ZTNA einsetzen, sollten vorrangig prüfen, ob der Sicherheitshinweis auf ihre FortiOS- und FortiProxy-Versionen zutrifft, und ein Update unmittelbar nach Veröffentlichung der fehlerbereinigten Releases durch den Hersteller einplanen.
