SecBoard
Zurück zur CVE-Übersicht

CVE-2019-5591

MEDIUM(6.5)KEV — Aktiv ausgenutzt

CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Risk Signal Score52/100 — HOCH
  • CVSS 6.5 — Mittel
  • Im CISA KEV-Katalog (aktiv ausgenutzt)

CISA KEV

Bestätigt ausgenutzt

EPSS-Score

18.4%

Exploit-Wahrscheinlichkeit (30 Tage)

CVSS Score

6.5

Technische Schwere

SecBoard-Einordnung

CVE-2019-5591 betrifft FortiOS und stellt eine Schwachstelle in der Standardkonfiguration dar. Ein nicht authentifizierter Angreifer im selben Subnetz kann sensible Informationen abfangen, indem er sich als LDAP-Server ausgibt. Dies ermöglicht das Ausspähen von Daten durch eine Man-in-the-Middle-Position. Die Schwachstelle betrifft alle Versionen von FortiOS.

KI-gestützte Einordnung auf Basis der NVD-Daten.

Beschreibung

A Default Configuration vulnerability in FortiOS may allow an unauthenticated attacker on the same subnet to intercept sensitive information by impersonating the LDAP server.

Erkennung & Indikatoren

Ausnutzung

Aktiv ausgenutzt (CISA KEV).

Threat-Hunting-Queries

Die Schwachstelle ermöglicht es einem Angreifer im selben Subnetz, sich als LDAP-Server auszugeben und sensible Informationen abzufangen. Die Detektion sollte sich auf ungewöhnliche LDAP-Kommunikation oder -Authentifizierungsversuche von nicht autorisierten Quellen im lokalen Subnetz konzentrieren.

Sentinel/Defender KQL

let FortiGateLogs = SecurityEvent | where EventID == 4624 or EventID == 4625; // Beispiel für Authentifizierungsereignisse
FortiGateLogs
| where ProcessName contains "ldap" or CommandLine contains "ldap" // Annahme: LDAP-bezogene Prozesse/Kommandos
| where SourceIP in (ipv4_parse_range("10.0.0.0/8"), ipv4_parse_range("172.16.0.0/12"), ipv4_parse_range("192.168.0.0/16")) // Lokales Subnetz
| summarize count() by SourceIP, DestinationIP, ProcessName, CommandLine
| where count_ > 5 // Schwellenwert für ungewöhnliche Aktivität
| project SourceIP, DestinationIP, ProcessName, CommandLine, count_

Splunk SPL

index=fortigate (process=*ldap* OR command=*ldap*) (src_ip=10.0.0.0/8 OR src_ip=172.16.0.0/12 OR src_ip=192.168.0.0/16)
| stats count by src_ip, dest_ip, process, command
| where count > 5

Sigma

title: FortiOS LDAP Impersonation Attempt
id: 00000000-0000-0000-0000-000000000000 # Placeholder, generate a real UUID
status: experimental
description: Detects potential FortiOS LDAP impersonation attempts by monitoring unusual LDAP-related activity from local subnets.
references:
  - https://www.fortiguard.com/psirt/FG-IR-19-037
  - https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2019-5591
author: SecBoard Operations
date: 2024/07/30
logsource:
  product: fortigate
  service: firewall
detection:
  selection:
    - process|contains: 'ldap'
    - command_line|contains: 'ldap'
  filter_private_ip:
    src_ip|startswith:
      - '10.'
      - '172.16.'
      - '172.17.'
      - '172.18.'
      - '172.19.'
      - '172.20.'
      - '172.21.'
      - '172.22.'
      - '172.23.'
      - '172.24.'
      - '172.25.'
      - '172.26.'
      - '172.27.'
      - '172.28.'
      - '172.29.'
      - '172.30.'
      - '172.31.'
      - '192.168.'
  condition: selection and filter_private_ip
level: medium

Elastic ES|QL

from fortigate_logs
| where process.name : "*ldap*" or command_line : "*ldap*"
| where cidr_match(source.ip, "10.0.0.0/8", "172.16.0.0/12", "192.168.0.0/16")
| stats count() by source.ip, destination.ip, process.name, command_line
| where count > 5

SecBoard-generated · behavioral · requires customization — Von SecBoard erzeugt und nicht in einer Zielumgebung validiert. Vor dem Einsatz an die eigene Protokollierung anpassen.

Betroffene Produkte

  • cpe:2.3:o:fortinet:fortios:*:*:*:*:*:*:*:*

Referenzen