Ein angemeldeter Administrator mit reinem Lesezugriff kann über die REST-API von FortiOS bzw. FortiADC die Verbindungsprüfung für den konfigurierten LDAP-Server auf einen eigenen, bösartigen LDAP-Server umleiten. Das Gerät sendet dabei die hinterlegten LDAP-Zugangsdaten an den Angreifer – in der Regel ein Dienstkonto des Verzeichnisdienstes. Fortinet hat die Lücke behoben; die CISA führt sie seit September 2022 als aktiv ausgenutzt.
Advisory als PDF herunterladenFortiOS und FortiADC bieten in der Administrationsoberfläche eine Funktion, um die Verbindung zum konfigurierten LDAP-Server zu testen. In den betroffenen Versionen dürfen auch Administratoren mit reinem Lesezugriff die Zieladresse dieses Tests über die REST-API verändern. Wird der Test auf einen vom Angreifer kontrollierten Rogue-LDAP-Server umgeleitet, übermittelt das Gerät die hinterlegten LDAP-Bind-Zugangsdaten dorthin – und gibt sie damit preis.
| Produkt / Version | Verwundbar | Fixversion |
|---|---|---|
| FortiOS | 5.6.7 und früher · 6.0.0-6.0.2 | 6.0.3 |
| FortiADC 6.1 | 6.1.0 | 6.1.1 |
| FortiADC 6.0 | 6.0.0-6.0.1 | 6.0.2 |
| FortiADC 5.4 | 5.4.0-5.4.4 | 5.4.5 |
Betroffen sind FortiOS bis einschließlich 6.0.2 sowie die genannten FortiADC-Zweige. FortiOS 6.0.3 und höher (bzw. 6.2.0) beheben die Schwachstelle. Die Ausnutzung setzt ein angemeldetes Administratorkonto voraus – auch ein reines Read-only-Konto genügt, weshalb kompromittierte oder zu großzügig vergebene Lesekonten das eigentliche Einfallstor sind.
Regulatorischer Hinweis: Fließen über diese Lücke LDAP-Zugangsdaten und in der Folge Verzeichnis- bzw. personenbezogene Daten ab, kann eine meldepflichtige Verletzung vorliegen – DSGVO unverzüglich (i. d. R. 72 h), NIS-2 nach den für Sie geltenden Fristen. Die Meldung bleibt bei Ihnen; wir unterstützen bei Bewertung und Dokumentation.
In dieser Reihenfolge – patchen, Zugriff und Lesekonten härten, LDAP-Zugangsdaten rotieren, Missbrauch ausschließen.
6.0.2 oder ein betroffener FortiADC-Zweig (5.4.0-5.4.4, 6.0.0-6.0.1, 6.1.0) im Einsatz ist und ob ein LDAP-Server (z. B. Active Directory) im Gerät konfiguriert ist.6.0.3 oder neuer aktualisieren; FortiADC auf 5.4.5, 6.0.2 bzw. 6.1.1 oder neuer. Damit ist die unberechtigte Änderung des LDAP-Testziels geschlossen.Zur Einordnung: Da die Schwachstelle über eine legitime Verwaltungsfunktion und ein angemeldetes Konto ausgenutzt wird, hinterlässt sie kaum eindeutige Netz-IOCs. Der zuverlässigste Nachweis ist die Auswertung Ihrer Geräte-Audit-Logs (Änderungen am LDAP-Testziel) sowie der Anmelde-Logs des betroffenen Verzeichnis-Dienstkontos.
Wichtig: Der Kern des Risikos liegt nicht im FortiGate selbst, sondern im dort hinterlegten LDAP-Dienstkonto: Ist dessen Passwort einmal abgeflossen, bleibt der Zugang zum Verzeichnisdienst auch nach dem Patch bestehen. Deshalb ist die Rotation der LDAP-Bind-Zugangsdaten ebenso wichtig wie das Update.
Fortinet PSIRT Advisory FG-IR-18-157 (Fixversionen FortiOS 6.0.3; FortiADC 5.4.5 / 6.0.2 / 6.1.1) · NVD (CVSS 3.1: 4,3 MITTEL, Vektor AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N; CVSS 2.0: 4,0; CWE-732) · CISA Known Exploited Vulnerabilities Catalog (aufgenommen 08.09.2022, Frist 29.09.2022). Angaben nach bestem Wissen zum Stand 14.07.2026; Fixversion gegen das Hersteller-Advisory abgleichen. Argos Security ist ISO/IEC 27001 (TÜV SÜD) zertifiziert.
Für genau diese Schwachstelle ausgewählt – nicht für jede.
LAUFENDE LEISTUNG
Worauf wir im Cyber Defense Center bei dieser Schwachstelle achten: Änderungen am LDAP-Testziel durch Read-only-Konten und die anschließende Nutzung abgeflossener Verzeichnis-Zugangsdaten. Das setzt voraus, dass die dafür nötigen Logquellen angebunden sind. Auffälligkeiten eskalieren wir rund um die Uhr.
LAUFENDE LEISTUNG
Ein Fix steht bereit. Entscheidend ist, ob Sie alle betroffenen Systeme kennen und den Patchstand belegen können – auch gegenüber einer Aufsicht.
Unsere Leistungen ergänzen bestehende Hersteller- und Supportverträge, sie ersetzen sie nicht. Sie arbeiten bereits mit einem MDR-Anbieter? Dann holen Sie zu dieser Schwachstelle eine Zweitmeinung ein.