Fortinet FortiGate/FortiOS bis 5.2.8/5.4.0 Password Information Disclosure

Es wurde eine Schwachstelle in Fortinet FortiGate sowie FortiOS bis 5.2.8/5.4.0 entdeckt. Sie wurde als problematisch eingestuft. Betroffen hiervon ist eine unbekannte Funktion. Durch das Manipulieren mit einer unbekannten Eingabe kann eine Information Disclosure-Schwachstelle (Password) ausgenutzt werden. Dies hat Einfluss auf die Vertraulichkeit.

Die Schwachstelle wurde am 02.12.2016 durch ryan als FG-IR-16-050 in Form eines bestätigten Advisories (Website) publiziert. Das Advisory kann von fortiguard.com heruntergeladen werden. Die Identifikation der Schwachstelle wird mit CVE-2016-7542 vorgenommen. Der Angriff muss lokal erfolgen. Um eine Ausnutzung durchzusetzen, muss eine einfache Authentisierung umgesetzt werden. Technische Details oder ein Exploit zur Schwachstelle sind nicht verfügbar. Das Advisory weist darauf hin:

Any administrator has access to all password hashes stored on the appliance, and may therefore be able to crack them to obtain the passwords of other local users, including super-admins.

Ein Aktualisieren auf die Version 5.2.10 oder 5.4.2 vermag dieses Problem zu lösen. Das Erscheinen einer Gegenmassnahme geschah sofort nach der Veröffentlichung der Schwachstelle. Fortinet hat daher unmittelbar gehandelt. Das Advisory stellt fest:

Workarounds: 1. Use two-factor authentication in conjunction with local admins account or a remote authentication method like LDAP or RADIUS. 2. Use a strong password policy to prevent password from being cracked from a hash value.

Mitunter wird der Fehler auch in der Verwundbarkeitsdatenbank von SecurityTracker (ID 1037394) dokumentiert.

CVSSv3

Base Score: 3.3 [?]
Temp Score: 3.2 [?]
Vector: CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N/E:X/RL:O/RC:C [?]
Zuverlässigkeit: High

CVSSv2

Base Score: 1.5 (CVSS2#AV:L/AC:M/Au:S/C:P/I:N/A:N) [?]
Temp Score: 1.3 (CVSS2#E:ND/RL:OF/RC:C) [?]
Zuverlässigkeit: High

CPE

• cpe:/a:fortinet:fortigate:5.2.8
• cpe:/a:fortinet:fortigate:5.4.0
• cpe:/a:fortinet:fortios:5.2.8
• cpe:/a:fortinet:fortios:5.4.0

Exploiting

Klasse: Information Disclosure
Lokal: Ja
Remote: Nein

Verfügbarkeit: Nein

Aktuelle Preisschätzung: $0-$5k (0-day) / $0-$5k (Heute)

Gegenmassnahmen

Empfehlung: Upgrade
Status: Offizieller Fix
Reaction Time: 0 Tage seit gemeldet
0-Day Time: 0 Tage seit gefunden
Exposure Time: 0 Tage seit bekannt

Upgrade: FortiGate/FortiOS 5.2.10/5.4.2

Timeline

02.12.2016 Advisory veröffentlicht
02.12.2016 Gegenmassnahme veröffentlicht
06.12.2016 SecurityTracker Eintrag erstellt
07.12.2016 VulDB Eintrag erstellt
07.12.2016 VulDB letzte Aktualisierung

Quellen

Advisory: FG-IR-16-050
Person: ryan
Status: Bestätigt

CVE: CVE-2016-7542 (mitre.org) (nvd.nist.org) (cvedetails.com)

SecurityTracker: 1037394 - Fortinet FortiGate/FortiOS Lets Local Users View Hashed Passwords

Eintrag

Erstellt: 07.12.2016
Eintrag: 73% komplett