Im SSL-VPN-Web-Portal von FortiOS und FortiProxy steckt ein Autorisierungsfehler: Ein nicht authentifizierter Angreifer kann aus dem Netz über speziell präparierte HTTP-Anfragen das Passwort eines lokal authentifizierten SSL-VPN-Portal-Nutzers neu setzen und sich damit dessen Konto aneignen. Ist keine Zwei-Faktor-Authentifizierung aktiv, steht anschließend der VPN-Zugang ins interne Netz offen. Die Schwachstelle – im Fortinet-Code über einen fest hinterlegten „magic"-Wert erreichbar – wird seit Jahren aktiv ausgenutzt und steht im CISA-KEV-Katalog.
Advisory als PDF herunterladenDas SSL-VPN-Web-Portal prüft in den betroffenen Versionen die Berechtigung für den Passwort-Änderungsvorgang nicht korrekt. Fortinet hatte auf Kundenwunsch einen fest im Code hinterlegten „magic"-Wert eingebaut, mit dem sich ein ablaufendes Portal-Passwort erneuern lässt. Ein nicht authentifizierter Angreifer kann diesen Ablauf über eine präparierte HTTP-Anfrage anstoßen und so das Passwort eines lokal authentifizierten SSL-VPN-Portal-Nutzers überschreiben – ganz ohne gültige Zugangsdaten.
| FortiOS-Version | Verwundbar | Fixversion |
|---|---|---|
| FortiOS 5.4.x | 5.4.1-5.4.10 | 5.4.11 |
| FortiOS 5.6.x | 5.6.0-5.6.8 | 5.6.9 |
| FortiOS 6.0.x | 6.0.0-6.0.4 | 6.0.5 |
| FortiOS 6.2 · 5.4.0 und älter · Branch 5.2 | nicht betroffen | — |
| FortiProxy | 1.0.0-1.0.7, 1.1.0-1.1.6, 1.2.0-1.2.8, 2.0.0 | fehlerbereinigte FortiProxy-Version lt. Fortinet |
Betroffen sind ausschließlich Systeme mit aktiviertem SSL-VPN und lokaler Authentifizierung. FortiOS 6.2.0 und höher, 5.4.0 und älter sowie der Branch 5.2 sind nicht betroffen. FortiProxy ist laut NVD in den genannten Versionen ebenfalls anfällig – hier auf eine von Fortinet als fehlerbereinigt ausgewiesene Version aktualisieren.
Regulatorischer Hinweis: Wird ein SSL-VPN-Konto übernommen und daraus ein Zugriff auf personenbezogene oder schützenswerte Daten möglich, kann eine meldepflichtige Verletzung vorliegen – DSGVO unverzüglich (i. d. R. 72 h), NIS-2 nach den für Sie geltenden Fristen. Die Meldung bleibt bei Ihnen; wir unterstützen bei Bewertung und Dokumentation.
In dieser Reihenfolge – Zugriff härten, patchen, Portal-Passwörter zurücksetzen, Kompromittierung ausschließen.
5.4.11 / 5.6.9 / 6.0.5) läuft und ob das SSL-VPN-Web-Portal mit lokaler Authentifizierung aus dem Netz erreichbar ist. Nur diese Konstellation ist angreifbar.config vpn ssl settings
unset source-interface
unset source-address
unset default-portal
endFortiOS 5.4.11, 5.6.9, 6.0.5 bzw. 6.2.0 oder neuer aktualisieren (FortiProxy entsprechend). Damit ist der Autorisierungsfehler geschlossen.execute log filter category 1
execute log displayZur Einordnung: Der Angriff läuft über reguläre HTTP-Anfragen an das SSL-VPN-Portal und ist ohne detaillierte Zugriffs- und Authentifizierungs-Logs schwer nachzuweisen. Der zuverlässigste Indikator ist die Auswertung Ihrer FortiOS-Event- und VPN-Logs auf unerklärte Passwortänderungen und Fremdanmeldungen. Fehlende Auffälligkeiten schließen eine zurückliegende Ausnutzung nicht sicher aus.
Wichtig: Der Kern des Risikos ist die Kontoübernahme: Ein Angreifer setzt das Passwort zurück und meldet sich anschließend regulär am VPN an. Zwei-Faktor-Authentifizierung ist die wirksamste Absicherung – selbst mit einem neu gesetzten Passwort scheitert der Login ohne zweiten Faktor. Deshalb sind das Zurücksetzen aller Portal-Passwörter und die dauerhafte 2FA-Pflicht ebenso wichtig wie das Update.
Fortinet PSIRT Advisory FG-IR-18-389 (CVSSv3 8,9 / High; Fixes 5.4.11, 5.6.9, 6.0.5, 6.2.0+) · NVD CVE-2018-13382 (CVSS 3.1: 7,5 / HOCH, Vektor AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N, CWE-863) · CISA Known Exploited Vulnerabilities Catalog (aufgenommen 10.01.2022, Frist 10.07.2022) · FBI/CISA Joint Advisory (02.04.2021). Angaben nach bestem Wissen zum Stand 14.07.2026; Fixversion gegen das Hersteller-Advisory abgleichen. Argos Security ist ISO/IEC 27001 (TÜV SÜD) zertifiziert.
Für genau diese Schwachstelle ausgewählt – nicht für jede.
SOFORTMASSNAHME
Zu dieser Schwachstelle sind Kompromittierungs-Indikatoren bekannt. Vor dem Patch gehört geprüft, ob sie bei Ihnen bereits gegriffen hat. Über den Notfallkontakt erreichen Sie uns rund um die Uhr; für Kunden mit IR-Vertrag mit Rückruf innerhalb von 30 Minuten.
LAUFENDE LEISTUNG
Worauf wir im Cyber Defense Center bei dieser Schwachstelle achten: Unautorisierte Passwortänderungen und anschließende SSL-VPN-Anmeldungen lokaler Konten. Das setzt voraus, dass die dafür nötigen Logquellen angebunden sind. Auffälligkeiten eskalieren wir rund um die Uhr.
STRUKTURELL
Solange der Dienst aus dem Internet erreichbar ist, bleibt er Ziel. Mittelfristig kann ein ZTNA-Ansatz diese Exposition verringern. Kurzfristig zählt der Patch.
Unsere Leistungen ergänzen bestehende Hersteller- und Supportverträge, sie ersetzen sie nicht. Sie arbeiten bereits mit einem MDR-Anbieter? Dann holen Sie zu dieser Schwachstelle eine Zweitmeinung ein.