Gefährliche Schwachstelle in Fortinet Firewall entdeckt

Arctic Wolf Labs, das Threat-Research-Team von Arctic Wolf, hat Anfang Dezember 2024 eine beunruhigende Kampagne mit verdächtigen Aktivitäten auf Fortinet FortiGate Firewall-Geräten festgestellt.

Dabei gelang es Cyberkriminellen, Zugang zu den Verwaltungsschnittstellen der betroffenen Firewalls zu erlangen. Dieser Zugriff ermöglichte es ihnen, die Konfigurationen der Firewalls zu manipulieren, neue Benutzerkonten zu erstellen und sich mit diesen Konten bei den SSL-VPN-Portalen anzumelden. In den kompromittierten Umgebungen wurden die Angreifer zudem dabei beobachtet, wie sie mithilfe der DCSync-Methode Anmeldedaten extrahierten, was auf ein hohes Maß an Raffinesse hinweist.

Obwohl der ursprünglich verwendete Zugriffsvektor noch nicht eindeutig identifiziert wurde, geht Arctic Wolf Labs davon aus, dass es sich sehr wahrscheinlich um die Ausnutzung einer Zero-Day-Schwachstelle handelt. Diese Einschätzung basiert auf der extrem kurzen Zeitspanne, in der die Angriffe durchgeführt wurden, sowie auf den betroffenen Firmware-Versionen der Geräte.

Die wichtigsten Erkenntnisse von Arctic Wolf beinhalten, dass sich die Kampagne speziell gegen Fortinet FortiGate Firewall-Geräte richtet, deren Management-Schnittstellen über das öffentliche Internet zugänglich sind. Die Angreifer führten unautorisierte administrative Anmeldungen über diese Schnittstellen durch, erstellten neue Konten, nutzten diese für die Authentifizierung an SSL-VPN-Portalen und nahmen darüber hinaus diverse andere Konfigurationsänderungen vor. Besonders alarmierend ist die Tatsache, dass die Angriffe möglicherweise auf einer bisher unbekannten Zero-Day-Schwachstelle basieren.

Arctic Wolf Labs betont die Dringlichkeit für Unternehmen, umgehend Maßnahmen zu ergreifen. Insbesondere der Firewall-Verwaltungszugriff über öffentliche Schnittstellen sollte so schnell wie möglich deaktiviert werden. Diese Maßnahme ist entscheidend, um das Risiko weiterer Kompromittierungen zu minimieren und die Sicherheit der betroffenen Systeme zu gewährleisten.

Weitere Informationen zum Thema finden Sie hier im Arctic Wolf-Blog.

(vp/Arctic Wolf)