Doel
Het doel van deze waarschuwing is om mensen bewust te maken van drie kwetsbaarheden die geavanceerde aanvallers actief gebruiken om systemen te compromitteren.
Deze waarschuwing moet systeembeheerders bewust maken van deze kwetsbaarheden, zodat ze dienovereenkomstig kunnen handelen.
CERT.be raadt systeembeheerders aan om, als dat nog niet gebeurd is, hun kwetsbare systemen zo snel mogelijk te patchen en de systeem- en netwerklogs te analyseren op eventuele verdachte activiteiten.
Samenvatting
De FBI (Federal Bureau of Investigation) en het CISA (Cybersecurity and Infrastructure Security Agency) waren samen getuige van APT-scanoperaties (Advanced Persistent Threats) in maart.
De scans vonden plaats op poorten 4443, 8443 en 10443. Er werd waarschijnlijk gezocht naar apparaten die kwetsbaar zijn voor CVE-2018-13379. Er werd ook gekeken naar apparaten die kwetsbaar zijn voor CVE-2020-12812 en CVE-2019-5591.
Technische details
CVE-2018-13379 - Een onjuiste beperking van een padnaam naar een map met beperkte permissies (Path Traversal) in Fortinet FortiOS 6.0.0 tot 6.0.4, 5.6.3 tot 5.6.7, en 5.4.6 tot 5.4.12 onder SSL VPN webportal stelt een niet-geauthenticeerde aanvaller in staat om systeembestanden te downloaden via speciaal aangemaakte HTTP resource requests.
CVE-2020-12812 - Een onjuiste authenticatiekwetsbaarheid in SSL VPN in FortiOS 6.4.0, 6.2.0 tot 6.2.3, 6.0.9 en lagere versies kan ertoe leiden dat een gebruiker zich met succes kan aanmelden zonder te worden gevraagd om de tweede authenticatiefactor (FortiToken) als hij hoofdletters in zijn gebruikersnaam heeft gewijzigd.
CVE-2019-5591 - Een standaard-configuratiekwetsbaarheid in FortiOS kan een niet-geauthenticeerde aanvaller op hetzelfde subnet in staat stellen gevoelige informatie te onderscheppen door zich voor te doen als de LDAP-server.
Risico's
Geavanceerde aanvallers kunnen één van deze CVE's gebruiken om toegang te krijgen tot netwerken in verschillende sectoren van de kritieke infrastructuur en zich zo toegang verschaffen tot belangrijke netwerken.
Ze kunnen dan exfiltratie- of gegevensversleutelingsaanvallen uitvoeren. Ze kunnen ook andere CVE's en/of exploitatietechnieken gebruiken om toegang te krijgen tot de kritieke infrastructuur en verdere aanvallen uit te voeren.
Getroffen verkopers en workarounds
CERT.be raadt systeembeheerders van Fortinet-apparaten aan om FortiOS zo snel mogelijk te upgraden naar de nieuwste beschikbare versie.
Het is ook raadzaam om uw netwerk- en systeemlogs of andere beschikbare gegevens grondig te analyseren op scanactiviteit op poorten 4443, 8443 en 10443 of andere verdachte activiteiten.
FortiOS-kwetsbaarheden:
- CVE-2018-13379 - https://www.fortiguard.com/psirt/FG-IR-18-384
- CVE-2020-12812 - https://www.fortiguard.com/psirt/FG-IR-19-283
- CVE-2019-5591 - https://www.fortiguard.com/psirt/FG-IR-19-037
Bronnen
CISA-waarschuwing - https://www.ic3.gov/Media/News/2021/210402.pdf
CVE-2018-13379 - https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-13379
CVE-2020-12812 - https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-12812
CVE-2019-5591 - https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-5591