SecBoard
Zurück zur CVE-Übersicht

CVE-2018-13374

MEDIUM(4.3)KEV — Aktiv ausgenutzt

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

Risk Signal Score52/100 — HOCH
  • CVSS 4.3 — Mittel
  • EPSS 38%
  • Im CISA KEV-Katalog (aktiv ausgenutzt)

CISA KEV

Bestätigt ausgenutzt

EPSS-Score

37.8%

Exploit-Wahrscheinlichkeit (30 Tage)

CVSS Score

4.3

Technische Schwere

SecBoard-Einordnung

CVE-2018-13374 betrifft Fortinet FortiOS und FortiADC und ist eine Schwachstelle des Typs Improper Access Control. Sie ermöglicht es einem Angreifer, LDAP-Server-Anmeldeinformationen zu erlangen, indem eine LDAP-Konnektivitätstest-Anfrage auf einen manipulierten LDAP-Server umgeleitet wird. Dies kann zur Offenlegung sensibler Authentifizierungsdaten führen.

Die Schwachstelle wird als Medium mit einem CVSS-Score von 4.3 eingestuft, hat jedoch eine EPSS-Wahrscheinlichkeit von 38% für eine Ausnutzung. Besonders kritisch ist, dass sie in 's () Katalog gelistet ist, was bedeutet, dass sie aktiv ausgenutzt wird und ein erhöhtes Risiko darstellt.

Security-Teams sollten umgehend prüfen, ob betroffene Fortinet FortiOS- und FortiADC-Systeme im Einsatz sind. Eine Priorisierung der Behebung ist aufgrund der aktiven Ausnutzung und der Aufnahme in den KEV-Katalog dringend erforderlich. Es wird empfohlen, die Herstellerhinweise für Patches oder Mitigationen zu konsultieren und diese schnellstmöglich umzusetzen.

KI-gestützte Einordnung auf Basis der NVD-Daten.

Beschreibung

A Improper Access Control in Fortinet FortiOS 6.0.2, 5.6.7 and before, FortiADC 6.1.0, 6.0.0 to 6.0.1, 5.4.0 to 5.4.4 allows attacker to obtain the LDAP server login credentials configured in FortiGate via pointing a LDAP server connectivity test request to a rogue LDAP server instead of the configured one.

Erkennung & Indikatoren

Ausnutzung

Actively exploited in the wild, listed in CISA KEV catalog. Known to be used in ransomware campaigns.

Threat-Hunting-Queries

This vulnerability involves an attacker redirecting an LDAP server connectivity test request to a rogue LDAP server to capture credentials. Detection should focus on unusual LDAP connection attempts from FortiGate/FortiOS devices to unconfigured or external LDAP servers, especially those not matching known legitimate LDAP infrastructure.

Sentinel/Defender KQL

FortiGate_logs
| where EventType == "ldap_test_request" or EventType == "authentication" // Adjust EventType based on actual FortiGate log schema
| where DstIp !in ("<internal_ldap_server_ip_1>", "<internal_ldap_server_ip_2>") // Exclude known legitimate LDAP servers
| where DstPort == 389 or DstPort == 636 // Standard LDAP/LDAPS ports
| summarize count() by SrcIp, DstIp, DstPort, Action, Result
| where count_ > 0

Splunk SPL

index=fortigate (eventtype="ldap_test_request" OR eventtype="authentication") NOT (dest_ip="<internal_ldap_server_ip_1>" OR dest_ip="<internal_ldap_server_ip_2>") (dest_port=389 OR dest_port=636)
| stats count by src_ip, dest_ip, dest_port, action, result

Sigma

title: FortiGate LDAP Rogue Server Detection
author: SecBoard
date: 2024/07/30
logsource:
  product: fortigate
  service: firewall
detection:
  selection:
    event_type: # Adjust based on FortiGate log schema
      - 'ldap_test_request'
      - 'authentication'
    dest_port:
      - 389
      - 636
  condition: selection and not known_ldap_servers
  known_ldap_servers:
    dest_ip:
      - '<internal_ldap_server_ip_1>'
      - '<internal_ldap_server_ip_2>'
falsepositives:
  - 'Legitimate new LDAP server configurations (should be whitelisted)'
level: high

Elastic ES|QL

from fortigate_logs
| where event.type in ('ldap_test_request', 'authentication') // Adjust based on FortiGate log schema
| where destination.port in (389, 636)
| where not (destination.ip in ('<internal_ldap_server_ip_1>', '<internal_ldap_server_ip_2>'))
| summarize count() by source.ip, destination.ip, destination.port, fortigate.action, fortigate.result

SecBoard-generated · behavioral · requires customization — Von SecBoard erzeugt und nicht in einer Zielumgebung validiert. Vor dem Einsatz an die eigene Protokollierung anpassen.

Betroffene Produkte

  • cpe:2.3:a:fortinet:fortiadc:*:*:*:*:*:*:*:*
  • cpe:2.3:a:fortinet:fortiadc:*:*:*:*:*:*:*:*
  • cpe:2.3:a:fortinet:fortiadc:6.1.0:*:*:*:*:*:*:*
  • cpe:2.3:o:fortinet:fortios:*:*:*:*:*:*:*:*

Referenzen