Das BSI warnt vor einer aktiven Ausnutzung einer kritischen Schwachstelle in in Fortinet SSL-VPN. Der Dienst von FortiOS, welcher auf FortiGate Firewalls zur Einsatz kommt, ermöglicht es Angreifenden einen Schadcode oder Befehle auszuführen.
Unternehmen die FortiGate Firewalls einsetzen sollten laut BSI so schnell wie möglich ihre Geräte patchen. Die Schwachstelle wird vom Hersteller nach Common Vulnerability Scoring System (CVSS) v3.1 mit einem gesamt CVSS-Wert von 9.3 von 10 als „kritisch“ bewertet. Für die Schwachstelle wurde die CVE-2022-42475 vergeben. Nach Angaben des Fortinet PSIRT – Product Security Incident Response Team – befindet sich eine Speicherüberlaufschwachstelle (Heap-based buffer overflow) im SSL-VPN-Dienst.
FortiGate Firewalls: Aktive Nutzung der Schwachstelle
Das PSIRT von Fortinet gibt an, das die folgenden Produktversionen von der Schwachstelle betroffen sind:
- FortiOS-6K7K Version 7.0.0 – 7.0.7
- FortiOS-6K7K Version 6.4.0 – 6.4.9
- FortiOS-6K7K Version 6.2.0 – 6.2.11
- FortiOS-6K7K Version 6.0.0 – 6.0.14
- FortiOS Version 7.2.0 – 7.2.2
- FortiOS Version 7.0.0 – 7.0.8
- FortiOS Version 6.4.0 – 6.4.10
- FortiOS Version 6.2.0 – 6.2.11
Hersteller Fortinet gab außerdem bekannt, dass bereits ein Fall einer erfolgreichen Ausnutzung der Schwachstelle beobachtet wurde. Daher wird die sofortige Umsetzung der Patch-Maßnahmen empfohlen. Fortinet stellt die Anleitungen für bereits passende Patches auf seiner Webseite zur Verfügung.
- FortiOS version 7.2.3 oder höher
- FortiOS version 7.0.9 oder höher
- FortiOS version 6.4.11 oder höher
- FortiOS version 6.2.12 oder höher
- FortiOS-6K7K version 7.0.8 oder höher
- FortiOS-6K7K version 6.4.10 oder höher
- FortiOS-6K7K version 6.2.12 oder höher
- FortiOS-6K7K version 6.0.15 oder höher
Über das Bundesamt für Sicherheit in der Informationstechnik (BSI) Das Bundesamt für Sicherheit in der Informationstechnik (BSI) ist die Cyber-Sicherheitsbehörde des Bundes und Gestalter einer sicheren Digitalisierung in Deutschland. Das Leitbild: Das BSI als die Cyber-Sicherheitsbehörde des Bundes gestaltet Informationssicherheit in der Digitalisierung durch Prävention, Detektion und Reaktion für Staat, Wirtschaft und Gesellschaft.