CVE-2018-13379
Fortinet FortiOS — Fortinet FortiOS SSL VPN Path Traversal Vulnerability
Beschreibung
Eine unsachgemäße Einschränkung eines Pfadnamens auf ein eingeschränktes Verzeichnis ("Pfadumgehung") in Fortinet FortiOS 6.0.0 bis 6.0.4, 5.6.3 bis 5.6.7 und 5.4.6 bis 5.4.12 sowie FortiProxy 2.0.0, 1.2.0 bis 1.2.8, 1.1.0 bis 1.1.6, 1.0.0 bis 1.0.7 im SSL VPN-Webportal ermöglicht es einem nicht authentifizierten Angreifer, Systemdateien über speziell gestaltete HTTP-Ressourcenanforderungen herunterzuladen.
Behebung & Mitigation
Warum sofort handeln?
Priorisierung
CVE-2018-13379 erreicht CVSS 9.8 (AV:N/AC:L/PR:N/UI:N) und einen EPSS-Wert von 100 % — praktisch jede Scanning-Infrastruktur weltweit kennt und testet diesen Angriffsvektor aktiv. CISA hat die Schwachstelle als aktiv in Ransomware-Kampagnen genutzt markiert; erbeutete VPN-Credentials werden als initialer Zugangspfad für Netzwerkeinbrüche und anschließende Ransomware-Deployments verwendet. Besonders gefährdet sind Organisationen, die FortiOS 5.4.6–5.4.12, 5.6.3–5.6.7 oder 6.0.0–6.0.4 ohne Patch betreiben und deren SSL-VPN-Portal direkt aus dem Internet erreichbar ist — ein in KRITIS-Umgebungen häufiges Szenario. Für NIS2-pflichtige Einrichtungen ist das Risiko als kritisch einzustufen: ein erfolgreicher Angriff kann zur vollständigen Kompromittierung des internen Netzes führen, ohne dass der Angreifer vorab Credentials benötigt.
Runbook · Schritt 1
Sofort-Response (0-24 h)
- Patch sofort einspielen: FortiOS auf mindestens 6.0.5, 5.6.8 oder 5.4.13 aktualisieren; FortiProxy auf mindestens 1.2.9. Vendor-Advisory FG-IR-18-384 beim Fortinet-Support-Portal verifizieren. Kein Workaround ersetzt den Patch.
- SSL-VPN-Webportal deaktivieren, falls ein Patch nicht innerhalb von 2 Stunden eingespielt werden kann. Zugang über CLI:
config vpn ssl settings→set status disable. Betriebsunterbrechung ist dem Credential-Diebstahl vorzuziehen. - Alle VPN-Credentials als kompromittiert behandeln: Passwörter sämtlicher VPN-Nutzerkonten zurücksetzen, LDAP/AD-Service-Accounts inklusive. Die Schwachstelle ermöglicht das Auslesen der Datei
sslvpn_websession, die Klartextpasswörter enthalten kann. - Firewall-Regeln: Eingehenden Zugriff auf TCP/443 (SSL-VPN-Portal) auf bekannte Quell-IP-Bereiche beschränken, bis der Patch ausgerollt ist. Geo-Blocking für nicht benötigte Regionen aktivieren.
- Forensische Sicherung: Aktuelle Logs (
/var/log/, FortiAnalyzer-Export) sichern, bevor ein Neustart oder Upgrade die Beweise überschreibt. Zeitstempel der letzten Zugriffe auf/remote/fgt_langund/remote/logincheckprüfen. - Incident-Ticket eröffnen und NIS2-Meldepflicht prüfen: Bei Hinweisen auf erfolgreiche Ausnutzung ist eine Erstmeldung an die zuständige nationale Behörde (BSI/CERT-Bund in DE) innerhalb von 24 Stunden zu erwägen.
Runbook · Schritt 2
Mitigation-Layer
- Netzwerksegmentierung: SSL-VPN-Endpunkt in eine dedizierte DMZ verlagern; Management-Interfaces (TCP/8443, TCP/22) dürfen nicht aus dem Internet erreichbar sein. VLAN-Trennung zwischen VPN-Terminierung und internem Netz erzwingen.
- WAF/IPS-Signatur: Snort/Suricata-Regel auf Path-Traversal-Muster im HTTP-Request-Pfad:
alert http any any -> $VPN_HOST 443 (msg:"CVE-2018-13379 FortiOS Path Traversal"; content:"/remote/fgt_lang"; http_uri; content:".."; http_uri; sid:2018133791; rev:1;). Alternativ IPS-Signatur FortiGuard IPS ID 43399 aktivieren. - Least-Privilege für VPN-Konten: MFA für alle SSL-VPN-Nutzer erzwingen (RADIUS/TOTP). Konten ohne MFA bis zur Passwort-Rotation sperren. Privilegierte AD-Konten dürfen sich nicht direkt am VPN anmelden.
- Endpoint-Härtung: Auf dem FortiGate-Gerät nicht benötigte SSL-VPN-Portale (Bookmarks, Web-Mode) deaktivieren; nur Tunnel-Mode betreiben, sofern Web-Mode nicht zwingend erforderlich.
- Credential-Monitoring: Exportierte Session-Dateien (
sslvpn_websession) können im Darknet kursieren. Threat-Intelligence-Feed auf Leaks der eigenen Domain-Credentials abonnieren (z. B. Have I Been Pwned Enterprise, Recorded Future).
Runbook · Schritt 3
Detection-Regeln
- Web-Server-Accesslog (FortiGate / FortiAnalyzer): Anfragen mit
..%2F,%2e%2e%2foder..%252Fim Pfad gegen/remote/— SPL:index=fortigate sourcetype=fortigate_traffic request="*..%2F*" uri_path="*/remote/*" | stats count by src_ip, uri_path - Netzwerk-Telemetrie (Zeek/Suricata): HTTP-GET-Anfragen auf
/remote/fgt_lang?lang=../../../../oder ähnliche Traversal-Sequenzen; Suricata-Regel mitpcre:"/\/remote\/fgt_lang\?lang=(\.\.[\/\\]){2,}/Ui". - Sigma-Regel (FortiGate-Logs):
title: CVE-2018-13379 FortiOS SSL VPN Path Traversal | logsource: product: fortigate | detection: keywords: - '/remote/fgt_lang' - '/../' | condition: all of them - Anomalie-Erkennung: Unauthentifizierte HTTP-200-Antworten vom SSL-VPN-Portal auf Pfade außerhalb von
/remote/logincheckund/remote/login— insbesondere Antworten mit Content-Typeapplication/octet-streamoder ungewöhnlich großen Response-Bodies (> 50 KB) ohne vorherige Authentifizierung. - AD/IAM-Monitoring: Neue Anmeldungen mit VPN-Nutzerkonten aus unbekannten Quell-IPs oder zu ungewöhnlichen Zeiten nach dem Patch-Zeitpunkt — Windows Event ID 4624 (Logon Type 3) kombiniert mit VPN-Gateway als Quellhost.
Metriken
Betroffene Betriebssysteme
mobile
fortinet / fortios
Betroffene Produkte
Aus der Hersteller-/CERT-Meldung extrahierte Produkte und Versionsbereiche. Ein Version-Range wie „<4.14.6“ impliziert die Update-Empfehlung „auf 4.14.6 oder höher aktualisieren“.
fortinet
fortiproxy1.2.9
fortinet
fortiproxy
Öffentliche Exploit-Referenzen
Öffentliche Proof-of-Concepts und Detection-Templates für diese Schwachstelle. Die Reife reicht von gemeldeten PoCs über funktionsfähige Detection-Skripte bis hin zu vollständig waffenfähigen Exploit-Modulen. NEOSEC mirrort den Code intern für forensische Analysen; nach außen verlinken wir ausschließlich auf die Original-Quellen.