Aktive Ausnutzung von bekannten Schwachstellen in Fortinet-Produkten

Am 10. April 2025 veröffentlichte Fortinet einen Blogbeitrag, in dem eine neue Post-Exploitation-Technik beschrieben wurde, die von böswilligen Akteuren genutzt wird, um FortiGate-Geräte zu kompromittieren. Diese Technik nutzt bereits bekannte Schwachstellen – CVE-2022-42475, CVE-2023-27997 und CVE-2024-21762 – aus und basiert auf dem Einfügen eines symbolischen Links in das Dateisystem des kompromittierten Geräts.

Sobald diese schädliche Datei vorhanden ist, kann sie Lesezugriff auf zahlreiche interne Dateien ermöglichen, darunter auch Konfigurationsdateien, wodurch die Vertraulichkeit des betroffenen Systems gefährdet wird.

Der Hersteller hat Maßnahmen ergriffen, um:

• eine geeignete AV/IPS-Signatur zur Erkennung und Entfernung der schädlichen Datei zu erstellen;
• die neuesten Versionen so anzupassen, dass der symbolische Link erkannt und entfernt wird und sichergestellt ist, dass das SSL-VPN nur die vorgesehenen Dateien bereitstellt;
• seine Kunden zu kontaktieren

Betroffene Produkte und Versionen

Der Hersteller weist darauf hin, dass Kunden, die die SSL-VPN-Funktion nie aktiviert haben, von diesem Problem nicht betroffen sind.

Abhilfemaßnahmen

Es wird empfohlen, den im Abschnitt „Referenzen“ aufgeführten Fortinet-Sicherheitsbericht sorgfältig zu lesen und:

• ein Update auf die FortiOS-Versionen 7.6.2, 7.4.7, 7.2.11, 7.0.17 oder 6.4.16 durchzuführen, um den schädlichen symbolischen Link zu entfernen und dessen weitere Verbreitung zu verhindern;
• die Konfiguration aller betroffenen Geräte zu überprüfen;
• potenziell kompromittierte Anmeldedaten zurückzusetzen.

Bei den FortiOS-Versionen 7.4, 7.2, 7.0 und 6.4 wurde der symbolische Link von der AV/IPS-Engine (nach einem entsprechenden Update) als schädlich eingestuft und wird daher automatisch entfernt, sofern die Lizenz gültig ist.

Gemäß den Anweisungen des Herstellers sind alle Konfigurationen als potenziell gefährdet anzusehen. Um sie wiederherzustellen, müssen daher die im Fortinet-Blog im Abschnitt „Referenzen“ empfohlenen Anweisungen befolgt werden.

CVE

CVE-2022-42475
CVE-2023-27997
CVE-2024-21762

Referenzen

1. https://www.fortinet.com/blog/psirt-blogs/analysis-of-threat-actor-activity
2. https://community.fortinet.com/t5/FortiGate/Technical-Tip-Recommended-steps-to-execute-in-case-of-a/ta-p/230694
3. https://www.acn.gov.it/portale/w/rilevata-vulnerabilita-nei-firewall-fortinet-al01/230612/csirt-ita-aggiornamento
4. https://www.acn.gov.it/portale/w/fortinet-aggiornamenti-di-sicurezza-fortios-per-firewall-fortigate-al06/240208/csirt-ita-aggiornamento
5. https://www.acn.gov.it/portale/w/risolta-vulnerabilita-critica-su-fortios-al01/221213/csirt-ita-

SOC