Es gibt eine unangenehme Kategorie von Sicherheitslücken: die im Sicherheitsprodukt selbst. Ein verwundbares Content-Management-System ist ärgerlich. Ein verwundbares Firewall-Management ist etwas anderes, weil das Gerät per Definition an der Stelle steht, an der alles vorbeikommt.
Zwei Fälle aus jüngerer Zeit haben mir das deutlich gemacht. Der erste war CVE-2024-47575 in Fortinets FortiManager, der zentralen Management-Komponente einer weit verbreiteten Firewall-Produktlinie, eingestuft mit einem CVSS-Wert von 9,8. Das eigentlich Bemerkenswerte ist die Chronologie: Die aktive Ausnutzung begann Ende Juli, veröffentlicht wurde die Schwachstelle erst Ende Oktober. Drei Monate lang wurde also eine Lücke ausgenutzt, gegen die niemand patchen konnte, weil niemand von ihr wusste.
Der zweite Fall, wenige Monate später, war CVE-2024-55591 in FortiOS und FortiProxy, also im Betriebssystem derselben Produktfamilie – ebenfalls CVSS 9,8. Angreifer konnten sich Administratorrechte verschaffen, neue VPN-Zugänge anlegen und Zugangsdaten abziehen. Ein sauber vergebenes Passwort und aktivierte Mehrfaktor-Authentifizierung helfen an dieser Stelle nicht, weil die Anmeldung gar nicht stattfindet, sondern umgangen wird.
Die naheliegende Reaktion ist, auf den Hersteller zu zeigen. Interessanter finde ich die Frage, was das Netz drumherum hätte abfangen können. Zwei Dinge fallen auf. Erstens: Ein Management-Interface, das aus dem offenen Internet erreichbar ist, ist eine Entscheidung – und meistens eine bequeme statt einer notwendigen. Zweitens: Wer zwei Firewalls hintereinander schaltet, sollte Produkte verschiedener Hersteller wählen, sonst reißt dieselbe Lücke beide Schichten gleichzeitig auf. Der zweite Punkt steht mir in den gängigen Empfehlungen zu selten.
Unter einem Zero-Trust-Modell wären beide Fälle deutlich schwächer ausgefallen. Nicht, weil die Lücke verschwindet, sondern weil zwischen Angreifer und verwundbarem Dienst noch etwas steht: Nur bekannte, verwaltete Geräte mit unauffälliger Historie hätten überhaupt die Gelegenheit gehabt, es zu versuchen.
Was ich mitnehme: Ein Sicherheitsvorfall ist immer auch eine Gelegenheit zu lernen – und die spannendste Frage danach ist nicht, wer schuld war, sondern welche Schicht gefehlt hat.
Leseempfehlungen
- CVE-2024-47575 – Fortinet FortiManager, fehlende Authentifizierung an einer kritischen Funktion, CVSS 9,8.
- CVE-2024-55591 – Fortinet FortiOS und FortiProxy, Authentifizierungsumgehung über ein alternatives Websocket-Modul, CVSS 9,8.
- CVE-2024-20509 – Cisco Meraki MX- und Z-Serie, Race Condition im AnyConnect-VPN-Server. Die Bewertungen gehen hier auseinander: NVD sagt 5,9, Cisco selbst 5,8.
- BSI: Die Lage der IT-Sicherheit in Deutschland, erscheint jährlich – einmal im Jahr gelesen reicht, um die Entwicklung einzuordnen. bsi.bund.de
- Roland Hellmann: IT-Sicherheit. Methoden und Schutzmaßnahmen für sichere Cybersysteme, De Gruyter Oldenbourg 2022, 2. Auflage. doi.org/10.1515/9783110767186
Dieser Text geht auf eine Seminararbeit zurück, die ich im Studium zum Thema Netzwerkperimeter und Zero Trust geschrieben habe. Was hier steht, ist meine Einordnung aus Lektüre und Beschäftigung mit dem Thema – keine eigene Forschung und kein Anspruch auf Vollständigkeit.