Fortinet warnt vor kritischer Sicherheitslücke in FortiOS

Fortinet hat ein Sicherheitsupdate für FortiOS und FortiProxy SSL-VPN veröffentlicht. Es beseitigt eine als kritisch eingestufte Anfälligkeit, die im Common Vulnerability Scoring System (CVSS) mit 9,2 von zehn möglichen Punkten bewertet ist. Angreifer können unter Umständen Schadcode einschleusen und ausführen.

In einer Sicherheitsmeldung wird die Schwachstelle als Heap-basierter Püfferüberlauf beschrieben. Ein entfernter Angreifer muss lediglich speziell gestaltete Anfragen an ein ungepatchtes Produkt übermitteln. Neben dem jetzt veröffentlichten Patch bietet Fortinet auch einen Workaround an: Administratoren, die das Update nicht sofort einspielen können, sollten die SSL-VPN-Funktion abschalten.

Ausnutzung ohne Authentifizierung möglich

Der Sicherheitsanbieter Tenable weist darauf hin, dass sich die Anfälligkeit ohne Authentifizierung ausnutzen lässt. Sie sei deswegen für Angreifer besonders wertvoll. Fortinet schließe außerdem nicht aus, dass der Bug bereits für Angriffe ausgenutzt wurde.

„In den letzten fünf Jahren gab es einen anhaltenden Trend, dass Schwachstellen in SSL-VPN-Produkten wie denen von Citrix, Pulse Secure und Fortinet angegriffen wurden. Diese Schwachstellen wurden nicht nur von Ransomware-Gruppen ausgenutzt, sondern auch von staatlich motivierten beziehungsweise unterstützen Akteuren, die sich besonders auf Schwachstellen in Fortinet-Geräten konzentrierten. SSL-VPNs sind attraktive Ziele, da sie über das Internet Zugang zum Intranet eines Unternehmens bieten. Sie wurden zu Beginn der Pandemie sogar noch beliebter, als die Unternehmen dazu übergingen, Remote-Arbeit zuzulassen“, kommentiert Satnam Narang, Senior Staff Research Engineer bei Tenable.

Trotz der verfügbaren Patches sei die Schwachstelle für Bedrohungsakteure weiterhin von erheblichem Wert. „Es ist keine Frage des ‚ob‘, sondern eher des ‚wann‘ ein öffentlicher Proof-of-Concept-Exploit für diese Schwachstelle veröffentlicht wird, so dass wir mit einem weitreichenden Scannen und Ausnutzen anfälliger Anlagen rechnen können“, so Narang weiter. Fortinet-Kunden empfiehlt er, die verfügbaren Patches „sofort“ anzuwenden.