Kwetsbaarheid in Fortinet FortiWeb actief uitgebuit

In dit artikel:

Onderzoekers meldden dat een zero-authenticatielek in Fortinets FortiWeb active gebruikt wordt om nieuwe beheerdersaccounts aan te maken op kwetsbare appliances. Het misbruik werd voor het eerst opgemerkt op 6 oktober door threat-intelligencebedrijf Defused; sindsdien nemen de aanvallen toe. PwnDefend en Defused concluderen dat een path-traversal-kwetsbaarheid de oorzaak is.

watchTowr Labs publiceerde een video van de exploit en bracht een hulpmiddel uit (FortiWeb Authentication Bypass Artifact Generator) dat automatisch een admin-account met een willekeurige achttekens-naam aanmaakt. Rapid7 testte meerdere versies en vond dat FortiWeb 8.0.1 en eerdere releases vatbaar zijn. Volgens meldingen is het probleem verholpen in FortiWeb 8.0.2 (uitgebracht eind oktober), maar Fortinet zelf heeft de kwetsbaarheid en de patch naar verluidt niet publiekelijk aangekondigd.

Wat te doen: organisaties met FortiWeb-apparaten moeten zo snel mogelijk updaten naar 8.0.2, controleren op onbekende beheeraccounts en toegangslogs, managementinterfaces netwerkmatig beperken en incident-responsemaatregelen nemen om (eventuele) ongeautoriseerde toegang te remediëren.