Fortinet waarschuwt voor actief misbruikte kwetsbaarheid in FortiManager
Fortinet waarschuwt klanten voor een actief misbruikte kwetsbaarheid in FortiManager en FortiManager Cloud waardoor een ongeauthenticeerde aanvaller het systeem op afstand kan overnemen. FortiManager is een netwerkapparaat waarmee organisaties als hun Fortinet-apparaten kunnen beheren. De afgelopen dagen werd er veelvuldig over het bestaan van het beveiligingslek, aangeduid als CVE-2024-47575, gespeculeerd.
Beveiligingsonderzoeker Kevin Beaumont stelde dat statelijke actoren misbruik van het lek maken om via managed serviceproviders spionage-aanvallen uit te voeren. Fortinet bleef echter stil over het probleem en de beschikbaarheid van beveiligingsupdates, tot vandaag. In het beveiligingsbulletin laat het bedrijf weten dat het berichten over actief misbruik heeft ontvangen en roept klanten op om de beschikbaar gestelde update te installeren.
Door het versturen van speciaal geprepareerde requests kan een ongeauthenticeerde aanvaller namelijk op afstand willekeurige code of commando's op de FortiManager uitvoeren en zo controle over het systeem krijgen. De impact van de kwetsbaarheid is op een schaal van 1 tot en met 10 beoordeeld met een 9.8. Sinds wanneer er misbruik van het beveiligingslek plaatsvindt laat Fortinet niet weten.
Die gasten komen zo vaak in de CVE lijst voor.
Deze kwetsbaarheid kan alleen misbruikt worden als de manager aan het internet zit gekoppeld met poort 514 open. Sorry hoor, maar als je een beetje een security pet op hebt dan heb je dat sowieso al niet.. Je beheerplatform voor heel je omgeving zorg je voor dat het enkel via LAN te benaderen is met trusted hosts. Dan heb ik het nog geen eens gehad over local-in policies. Nu bregeep ik van een ander forum dat er bepaalde usecases zijn waarbij dit wel moet. Maar dan ga je toch sowieso iets van IP whitelisting doen. Desnoods op basis van geo locatie.
De bedrijven die hier zijn getroffen hebben mijn inziens een enorme security steek laten vallen.
En op de reactie hierboven, over dat Fortinet weer in het nieuws komt met een kwetsbaarheid. Ik had hier ook altijd mijn vraagtekens bij, tot ik wat dieper er naar ging kijken. Bijna alle vulnerabilities, heb mij ooit laten vertellen dat het percentage tussen de 80-85% zit. Wordt intern door hun security team gevonden. Als er wat wordt gevonden zijn ze ook heel transparant, daar kunnen andere partijen nog van leren.
Dus doe mij liever maar een partij die kwetsbaarheden vind, oplost en vermeld dan een partij die "nooit" wat heeft. Dat bestaat niet.
Zijn paar jaar geleden over gestapt, beste keuze.
Het instellen van allowlisting op de fgfm poort staat verder ook niet genoemd in de best practice guide van Fortinet. De best practice noemt nota bene dat je altijd een publiek routerbaar adres wil toe te wijzen aan de FortiManager op het moment dat je deze 'achter' een firewall zoals een FortiGate plaatst.
Helaas is de aanname van veel leveranciers dat het allemaal wel veilig zal zijn en dit allemaal moet kunnen. Ook als er een custom in-house protocolletje gemaakt wordt. Ook als er een interne PKI opgetuigd wordt die door alle devices vertrouwd wordt. Ook als je geen EDR kan installeren. Ook als forensisch onderzoek lastig gemaakt wordt.
Het enige wat je kan hopen is dat er meer besef komt dat het niet altijd veilig is. En dat je private keys van certificaten altijd hardware-gebonden wil hebben. En dat je netwerk diensten als least privilege user wil uitvoeren. En dat je misschien moet stoppen met onveilige programmeertalen als je continue last hebt van memory of string formatting fouten.
Wij zijn hier anderhalve week over ingelicht. Enige wat wij hebben is een geregistreerde fortimanager. Wij betalen niets extra's hiervoor. Communicatie werd verstuurd aan het emailadres waar de manager mee is geregistreerd. Moet je dat wel in de gaten houden dus :)
Wij zijn hier anderhalve week over ingelicht. Enige wat wij hebben is een geregistreerde fortimanager. Wij betalen niets extra's hiervoor. Communicatie werd verstuurd aan het emailadres waar de manager mee is geregistreerd. Moet je dat wel in de gaten houden dus :)
Ook die melding kwam ruim te laat.
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Chief Information Security Officer
Utrecht heeft jou nodig! Als Chief Information Security Officer speel jij een cruciale rol in de bescherming van de digitale informatie van de gemeente Utrecht. Als geen ander weet jij welke dreigingen er zijn en kun je deze vertalen naar risico's die de gemeente en haar inwoners lopen. Solliciteer nu!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
