FortiOS SSL VPN (CVE-2018-13379)
CVE-2018-13379CWE-22OWASP A01:2021CVSS 9.8Aktualisiert 29. August 20261 Min. Lesezeit
CVE-2018-13379 ist ein Path Traversal im SSL VPN von FortiOS, mit dem ein Angreifer ohne Zugangsdaten eine Sitzungsdatei abrufen konnte, in der Benutzernamen und Passwörter im Klartext standen. Der Patch erschien 2019, doch Listen mit erbeuteten Zugangsdaten kursieren noch Jahre später, und ungepatchte Geräte werden immer noch gefunden.
- Betroffen
- FortiOS 5.4.6 bis 5.4.12, 5.6.3 bis 5.6.7 und 6.0.0 bis 6.0.4 mit aktiviertem SSL VPN
- Gepatcht in
- FortiOS 5.4.13, 5.6.14, 6.0.11 und 6.2.8
- Aktiv ausgenutzt
- ja
Von allen Schwachstellen in dieser Übersicht ist diese die älteste und gerade deshalb die lehrreichste. Den Patch gibt es seit 2019. Trotzdem taucht CVE-2018-13379 Jahr für Jahr in den Listen der am häufigsten ausgenutzten Schwachstellen auf.
Was ist CVE-2018-13379
Das SSL-VPN-Portal von FortiOS akzeptierte einen Dateinamen in der URL, ohne zu prüfen, ob er im vorgesehenen Verzeichnis blieb. Mit einer Folge von ../ konnte ein Angreifer aus diesem Verzeichnis ausbrechen und beliebige Dateien abrufen. Das ist ein klassischer Path Traversal.
Die entscheidende Datei heißt sslvpn_websession. Darin legte das Gerät die Daten aktiver Sitzungen ab, samt Benutzernamen und Passwörtern im Klartext.
Warum diese Lücke einen so langen Nachlauf hat
Eine gewöhnliche Schwachstelle verschwindet mit dem Patch. Diese nicht. Nach einer einzigen Anfrage brauchte der Angreifer keine Schwachstelle mehr: Er hatte funktionierende Zugangsdaten. Im November 2020 wurde eine Liste mit Zugangsdaten von zehntausenden Fortinet-VPNs veröffentlicht. Organisationen, die kurz darauf patchten, aber ihre Passwörter beließen, blieben über die Vordertür erreichbar.
Wer sie einsetzt
Sowohl Ransomware-Affiliates als auch staatlich gelenkte Akteure haben diese Lücke genutzt, und westliche Sicherheitsbehörden warnten mehrfach davor. Der Grund ist banal: Sie kostet keine Mühe, verwundbare Geräte gibt es weiterhin, und der Ertrag ist direkter VPN-Zugang ins interne Netzwerk.
Was jetzt zu tun ist
- Prüfen Sie, welchen FortiOS-Stand Ihr VPN fährt, und bringen Sie es auf einen gepatchten Zweig.
- Setzen Sie die Passwörter aller VPN-Nutzer zurück, wenn das Gerät jemals ungepatcht am Internet hing.
- Setzen Sie Mehrfaktorauthentifizierung auf jede Form von Fernzugriff. Das ist die einzige Maßnahme, die ein geleaktes Passwort wertlos macht.
- Prüfen Sie die VPN-Logs auf Anmeldungen von ungewöhnlichen Orten oder außerhalb der Arbeitszeiten.
Quellen
Häufige Fragen
Warum steht eine Lücke von 2018 noch in Listen von 2024?
Weil die erbeuteten Zugangsdaten nicht ablaufen, wenn das Gerät gepatcht wird. Wer 2020 ein Passwort verloren und nie geändert hat, ist heute noch angreifbar.
Was tun, wenn wir damals verwundbar waren?
Patchen ist Schritt eins, aber alle Passwörter der VPN-Nutzer müssen neu gesetzt und mit Mehrfaktorauthentifizierung geschützt werden. Sonst bleibt die geleakte Liste brauchbar.
Wie erfahre ich, ob unsere Daten auf so einer Liste stehen?
Mit Sicherheit lässt sich das selten feststellen. Gehen Sie davon aus, dass es so ist, wenn das Gerät damals ungepatcht am Internet hing.
Verwandte Artikel
- CVEsCWE-119A07:2021Citrix Bleed (CVE-2023-4966)Citrix Bleed erklärt: wie Angreifer Session-Tokens aus dem NetScaler-Speicher lasen, damit MFA umgingen und warum Patchen allein nicht reichte.
- GlossarRansomwareRansomware erklärt: wie Erpressersoftware Dateien und Systeme verschlüsselt, wie Angriffe beginnen und wie Sie Ihre Organisation davor schützen.
- SchwachstellenCWE-287A07:2021Broken AuthenticationBroken Authentication erklärt: wie Angreifer über Brute Force, geleakte Passwörter und vorhersagbare Session-Tokens Konten übernehmen und was dagegen hilft.
- SchwachstellenCWE-22A01:2021Path Traversal (Directory Traversal)Path Traversal (Directory Traversal) erklärt: Wie Angreifer mit ../ aus dem Zielverzeichnis ausbrechen und sensible Dateien lesen, und wie Sie es verhindern.