CVE-2025-24472 — Fortinet FortiOS / FortiProxy Authentifizierungsumgehung
Überblick
CVE-2025-24472 ist eine Sicherheitslücke zur Authentifizierungsumgehung in Fortinet FortiOS und FortiProxy. Ein nicht authentifizierter Angreifer kann speziell geformte CSF (Central Security Fabric)-Proxy-Anfragen erstellen, um auf betroffenen Geräten Super-Admin-Rechte zu erlangen. Der Fehler hat einen CVSS-Score von 8.1 und ist bekannt dafür, aktiv von Ransomware-Gruppen, darunter SuperBlack (Mora_001), ausgenutzt zu werden.
Technische Details
- CWE: 288 — Authentifizierungsumgehung durch Verwendung eines alternativen Pfads oder Kanals
- Ursache: Eine unzureichende Validierung von CSF-Proxy-Anfragen ermöglicht es einem Angreifer, sich ohne gültige Anmeldeinformationen als vertrauenswürdiges Fabric-Gerät auszugeben.
- Angriffsvektor: Netzwerkbasiert, nicht authentifiziert
- Auswirkung: Vollständige Kompromittierung von Vertraulichkeit, Integrität und Verfügbarkeit (Super-Admin-Zugriff).
Betroffene Versionen
| Produkt | Betroffene Versionen |
|---|
| FortiOS | 7.0.0 – 7.0.16 |
| FortiProxy | 7.2.0 – 7.2.12, 7.0.0 – 7.0.19 |
Voraussetzungen für die Ausnutzung
- Der Angreifer kennt die Seriennummer des Zielgeräts.
- Die Security Fabric-Funktion ist auf dem Ziel aktiviert.
Ausnutzung
Der Angreifer sendet eine präparierte HTTP-Anfrage an den CSF-Proxy-Endpunkt des Ziels. Durch Manipulation der Forwarded-For- oder Authorization-Header und Einbettung der Ziel-Seriennummer wird die Anfrage so verarbeitet, als stamme sie von einem vertrauenswürdigen Fabric-Mitglied. Das Gerät gewährt daraufhin Super-Admin-Rechte, ohne dass gültige Anmeldeinformationen erforderlich sind.
Reproduktionsschritte
- Identifizieren Sie ein Ziel, das eine betroffene FortiOS- oder FortiProxy-Version ausführt.
- Ermitteln oder enumerieren Sie die Seriennummer des Geräts.
- Senden Sie eine präparierte POST-Anfrage an den CSF-Proxy-Endpunkt mit der in den Anfrage-Headern eingebetteten Seriennummer.
- Das Ziel antwortet mit einem Sitzungstoken, das Super-Admin-Rechte gewährt.
- Verwenden Sie das Token, um sich zu authentifizieren und auf die Geräteverwaltungsoberfläche zuzugreifen.
Proof of Concept
Siehe exploit.py für ein vollständiges PoC-Skript.
Abhilfemaßnahmen
- Aktualisieren Sie auf FortiOS 7.0.17+ oder FortiProxy 7.2.13+ / 7.0.20+.
- Beschränken Sie den Zugriff auf die Verwaltungsoberfläche auf vertrauenswürdige IPs.
- Deaktivieren Sie Security Fabric, falls nicht erforderlich.
- Überwachen Sie Protokolle auf anomale CSF-Proxy-Anfragen.
Referenzen
