Organisationen sollten umgehend alle Fortinet- und F5-Produkte auf die neuesten Patches aktualisieren, insbesondere für CVE-2024-21762.
▸▾Herleitung der Bewertung(6)
Wie der Wert zustande kommt
- Im CISA-KEV-Katalog: CVE-2023-27997, CVE-2024-21762+25
- Hoechster CVSS-Basiswert 9.8+18
- EPSS 85.7 % Ausnutzungswahrscheinlichkeit binnen 30 Tagen+13
- Ohne Anmeldung ueber das Netz ausnutzbar (CVE-2023-27997, CVSS-Vektor AV:N/PR:N)+10
- Belegte Wirkungstaktik: collection+8
- Belegte Angriffskette ueber 4 Kill-Chain-Phasen+6
Woraus sich die Konfidenz ergibt
- Nur ein Herausgeber — keine Gegenlesung
- Strukturierte CVE-Daten aus der NVD vorhanden
Die Konfidenz misst die Belegqualität, nicht die Schwere.
Einschränkungen
- 5 im Text genannte CVE(s) liegen uns nicht vor und gehen nicht in die Bewertung ein: CVE-2018-13379, CVE-2022-42475, CVE-2021-22986, CVE-2022-1388, CVE-2023-46747
Bewertung v1.1, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik
Thai Broadband Provider Hacked via Fortinet Vulnerability
Ein Bedrohungsakteur hat über Fortinet-Schwachstellen, insbesondere CVE-2024-21762, in die Systeme des thailändischen Breitbandanbieters 3BB eingebrochen. Millionen von Nutzern sind potenziell betroffen, da die Angreifer weitreichenden Zugriff auf interne Systeme und sensible Daten erlangten. 3BB und andere Unternehmen, die Fortinet- und F5-Produkte nutzen, sollten umgehend ihre Systeme auf die genannten Schwachstellen prüfen und Patches einspielen, um ähnliche Angriffe zu verhindern.
SecBoard-Einordnung
Die Ausnutzung dieser Schwachstellen kann zu weitreichendem Zugriff auf interne Systeme, Datendiebstahl (einschließlich Anmeldeinformationen) und der Installation von Backdoors führen. Dies stellt ein erhebliches Risiko für die Vertraulichkeit und Integrität von Daten dar und kann zu Betriebsunterbrechungen führen.
Realistisch schlimmster Fall: Im schlimmsten Fall könnten Angreifer vollständige Kontrolle über kritische Netzwerkinfrastrukturen erlangen, sensible Kundendaten in großem Umfang exfiltrieren und dauerhafte Backdoors für zukünftige Zugriffe etablieren, was zu erheblichen finanziellen und Reputationsschäden führt.
Empfehlung: Organisationen sollten umgehend alle Fortinet- und F5-Produkte auf die neuesten Patches aktualisieren, insbesondere für CVE-2024-21762. Zudem ist eine robuste Überwachung auf ungewöhnliche Aktivitäten und die Überprüfung auf Backdoors oder unautorisierte Zugriffe erforderlich.
Im erfassten Bestand
- ▸CVE-2024-21762 kommt damit in 4 erfassten Meldungen der letzten 90 Tage vor.
- ▸CVE-2023-27997 stand zum Zeitpunkt dieser Meldung seit 1190 Tagen im KEV-Katalog der CISA.
Gezählt im eigenen Bestand, rückwärts ab dem Erscheinungsdatum. Das ist Belegstärke, keine Aussage über die Häufigkeit in der Welt.
Key Facts
- CVSS
- 9.8 · CRITICAL
- EPSS
- 85.7%
- Über das Netz
- ja
- Anmeldung nötig
- nein
- Nutzerinteraktion nötig
- nein
- Angriffskomplexität
- niedrig
- Beeinträchtigt
- Vertraulichkeit, Integrität, Verfügbarkeit
- im KEV seit
- 2023-06-13
- Patch
- unbekannt
- CVSS
- 9.8 · CRITICAL
- EPSS
- 84.3%
- Über das Netz
- ja
- Anmeldung nötig
- nein
- Nutzerinteraktion nötig
- nein
- Angriffskomplexität
- niedrig
- Beeinträchtigt
- Vertraulichkeit, Integrität, Verfügbarkeit
- im KEV seit
- 2024-02-09
- Patch
- unbekannt
Im Text genannt, liegt uns aber noch nicht vor.
Im Text genannt, liegt uns aber noch nicht vor.
Im Text genannt, liegt uns aber noch nicht vor.
Im Text genannt, liegt uns aber noch nicht vor.
Im Text genannt, liegt uns aber noch nicht vor.
Betroffen
Organisationen, die Fortinet- und F5-Produkte einsetzen, insbesondere solche, die FortiGate SSL VPNs nutzen, sind potenziell betroffen. Der Artikel nennt explizit den thailändischen Breitbandanbieter 3BB.
Hersteller
Produkte
Prüfen
3- ▸Überprüfen Sie, ob alle Fortinet- und F5-Produkte, insbesondere FortiGate SSL VPNs, auf die neuesten Sicherheitsupdates gepatcht sind, insbesondere für CVE-2024-21762.
- ▸Implementieren und überprüfen Sie Protokollierungs- und Überwachungssysteme auf ungewöhnliche Anmeldeversuche, seitliche Bewegungen oder die Installation unbekannter Software/Backdoors auf Ihren Fortinet- und F5-Geräten und verbundenen Systemen.
▸ 1 weitere▾ weniger
- ▸Führen Sie eine Überprüfung der Netzwerksegmentierung durch, um sicherzustellen, dass ein Kompromittierung eines Edge-Geräts die seitliche Bewegung im Netzwerk erschwert.
Offene Punkte
4▸ anzeigen▾ ausblenden
- ▸Es ist nicht spezifiziert, welche spezifischen F5-Produkte betroffen sind.
- ▸Der genaue Umfang der gestohlenen sensiblen Daten ist nicht detailliert.
- ▸Die Identität oder Motivation des Bedrohungsakteurs ist nicht angegeben.
- ▸Es ist nicht spezifiziert, welche Länder außer Thailand betroffen sein könnten.
Red-Team-Relevanz
Was heißt das für dein nächstes Assessment?
▸ Einordnung anzeigen▾ Einordnung ausblenden
- Initial Access möglich?Ja
- Privilege Escalation relevant?Ja
- Exploit öffentlich verfügbar?Ja
- Detection / Logging prüfbar?Ja
- Für Purple-Team-Szenario geeignet?Ja
Kundenfragen
- Haben wir Fortinet extern erreichbar?
- Haben wir Active Directory / Entra extern erreichbar?
- Können wir Reconnaissance detektieren?
- Können wir Resource Development detektieren?
MITRE ATT&CK(11)
Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.
„bewegten sich seitlich im Netzwerk“
„Ein Bedrohungsakteur hat über Fortinet-Schwachstellen, insbesondere CVE-2024-21762, in die Systeme des thailändischen Breitbandanbieters 3BB eingebrochen.“
„die Angreifer sammelten Anmeldeinformationen“
„Angreifer ... platzierten Backdoors“
Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.
Kill-Chain-Phasen
Wie weit im Ablauf die belegten Techniken liegen — je Technik die früheste Phase.
Auskundschaften
2
Bewaffnung
3
Zustellung
0
Ausnutzung
0
Einnistung
1
Fernsteuerung
0
Zielhandlung
1
Quellen & Belege· 1 Quelle
Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.
- Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.
Verknüpfte Intelligence
Dieselben Entitäten an anderer Stelle auf SecBoard.