Kurzfassung

Fortinet warnt vor einer kritischen Schwachstelle mit CVSS 9,8, die laut Hersteller bereits aktiv ausgenutzt wird. Die Lücke erlaubt es nicht authentifizierten Angreifern, über präparierte HTTP- oder HTTPS-Anfragen beliebige Dateien auf dem zugrunde liegenden System zu schreiben. Unternehmen mit betroffenen Fortinet-Systemen sollten Workarounds und verfügbare Updates sofort priorisieren.

Was ist passiert?

Fortinet hat unter der Kennung FG-IR-26-175 eine Schwachstelle veröffentlicht, die auf eine unzureichende Beschränkung von Dateipfaden sowie auf eine fehlerhafte Behandlung von Null-Bytes zurückgeht. Nach Herstellerangaben kann ein externer Angreifer ohne gültige Zugangsdaten die Schwachstelle aus der Ferne ausnutzen.

Besonders kritisch ist die Lage, weil Fortinet ausdrücklich von Angriffen in freier Wildbahn spricht. Damit handelt es sich nicht nur um ein theoretisches Risiko oder einen Laborbefund, sondern um ein Problem mit unmittelbarer operativer Relevanz.

Technische Details

Fortinet beschreibt die Schwachstelle als Path-Traversal-Problem nach CWE-22 in Verbindung mit einer unsachgemäßen Neutralisierung von Null-Zeichen nach CWE-158. Der Angriff erfolgt über speziell gestaltete HTTP- oder HTTPS-Anfragen. Gelingt die Ausnutzung, kann der Angreifer beliebige Dateien auf dem zugrunde liegenden System ablegen.

Der CVSS-v3-Wert liegt bei 9,8 und weist damit auf eine kritische, remote ausnutzbare Schwachstelle ohne vorherige Authentisierung hin. Ein solcher Dateischreibzugriff ist in der Praxis oft der entscheidende Schritt für weitergehende Kompromittierung, etwa durch das Ablegen von Webshells, Konfigurationsmanipulationen oder vorbereitenden Schadkomponenten. Welche konkreten Produkte und Versionen betroffen sind, ist in den hier vorliegenden Herstellerinformationen nicht näher aufgeschlüsselt.

Wer ist betroffen?

Betroffen sind Fortinet-Umgebungen, für die FG-IR-26-175 relevant ist. Da der Angriff laut Fortinet über HTTP und HTTPS erfolgt, ist vor allem bei aus dem Internet erreichbaren Management- oder Web-Schnittstellen höchste Vorsicht geboten.

Für Unternehmen im DACH-Raum ist das vor allem dort kritisch, wo Fortinet-Systeme direkt an Perimetern betrieben werden oder administrative Oberflächen aus betrieblichen Gründen extern erreichbar sind. Wer Fortinet breit im Netzwerkzugang, an Außenstandorten oder in Mandantenumgebungen einsetzt, sollte die eigene Angriffsfläche umgehend prüfen.

Empfohlene Maßnahmen

Erstens: Prüfen Sie sofort, ob in Ihrer Umgebung Systeme vorhanden sind, auf die die Fortinet-Meldung FG-IR-26-175 zutrifft. Ziehen Sie dazu Inventarisierung, Konfigurationsmanagement und externe Erreichbarkeitsprüfungen heran.

Zweitens: Setzen Sie unverzüglich die von Fortinet genannten Workarounds beziehungsweise bereitgestellten Korrekturen um. Die offiziellen Details finden Sie im Herstellerhinweis unter https://fortiguard.fortinet.com/psirt/FG-IR-26-175.

Drittens: Nehmen Sie betroffene Verwaltungs- und Web-Oberflächen, wenn möglich, aus der direkten Internet-Erreichbarkeit. Beschränken Sie den Zugriff auf Administrationsnetze, VPN, Sprungserver oder explizit freigegebene Quelladressen.

Viertens: Prüfen Sie Protokolle und Dateisysteme auf Anzeichen unautorisierter Schreibvorgänge. Besonders relevant sind ungewöhnliche HTTP- oder HTTPS-Anfragen, neu angelegte Dateien in Web- oder Konfigurationspfaden sowie Abweichungen an Systemdateien.

Fünftens: Wenn ein System exponiert war, behandeln Sie es im Zweifel als potenziell kompromittiert. Dann reicht ein bloßes Patchen nicht aus. Sichern Sie Beweise, rotieren Sie Zugangsdaten, prüfen Sie Persistenzmechanismen und bewerten Sie, ob ein Neuaufbau erforderlich ist.

Einschätzung von CyberSecurity-News.de

Die Kombination aus CVSS 9,8, fehlender Authentisierung und bestätigter Ausnutzung macht diese Schwachstelle für betroffene Fortinet-Installationen hochprioritär. Das ist kein Fall für den nächsten regulären Wartungstermin.

Positiv ist, dass Fortinet die aktive Ausnutzung klar benennt. Noch wichtiger wäre für Administratoren allerdings eine möglichst präzise und schnell erfassbare Darstellung betroffener Produkte, Versionen und belastbarer Kompromittierungsindikatoren. Solange diese Informationen nicht vollständig vorliegen oder nicht überall intern angekommen sind, sollten Unternehmen konservativ vorgehen und exponierte Systeme mit besonderer Dringlichkeit behandeln.

Fazit

Wer betroffene Fortinet-Systeme betreibt, sollte sofort handeln: Exponierte Oberflächen identifizieren, Herstellermaßnahmen umsetzen und Logs auf Missbrauch prüfen. Ist ein betroffenes System aus dem Internet erreichbar oder war es das bis vor kurzem, sollte die Incident-Response-Perspektive von Anfang an mitgedacht werden.

Quellenangabe

Weiterführende Informationen von Fortinet: https://fortiguard.fortinet.com/psirt/FG-IR-26-175