Im Reverse-Proxy-Modus des FortiOS SSL-VPN-Web-Portals werden JavaScript-href-Daten beim Weiterleiten von Webseiten fehlerhaft verarbeitet. Öffnet ein bereits angemeldeter SSL-VPN-Nutzer eine entsprechend präparierte Webseite, kommt es zu einem Heap-Buffer-Overflow – der SSL-VPN-Web-Dienst stürzt ab und trennt die angemeldeten Nutzer. Fortinet schließt eine darüber hinausgehende Codeausführung nicht aus. Die Schwachstelle wird von staatsnahen Angreifern aktiv ausgenutzt und steht seit Januar 2022 im CISA-KEV-Katalog.
Advisory als PDF herunterladenDas SSL-VPN-Web-Portal von FortiOS arbeitet als Reverse-Proxy und leitet externe Webseiten an den angemeldeten Nutzer weiter. Beim Verarbeiten von JavaScript-href-Daten in solchen weitergeleiteten Seiten prüft FortiOS die Datenlänge nicht ausreichend und schreibt über den zugewiesenen Speicherbereich hinaus (CWE-787, Heap-Buffer-Overflow). Das führt zum Abbruch des SSL-VPN-Web-Dienstes; eine weitergehende Codeausführung schließt der Hersteller nicht aus. Der reine Tunnel-Modus des SSL-VPN ist nicht betroffen.
| FortiOS-Version | Verwundbar | Fixversion |
|---|---|---|
| FortiOS 6.0.x | 6.0.0 – 6.0.4 | 6.0.5 |
| FortiOS 5.6.x | 5.6.0 – 5.6.10 | 5.6.11 |
| FortiOS 5.4.x | 5.4.0 – 5.4.12 | 5.4.13 |
| FortiOS 5.2.x | ≤ 5.2.14 | 5.2.15 |
| FortiProxy | 2.0.0 · ≤ 1.2.8 | siehe FG-IR-20-229 |
Betroffen ist ausschließlich der Web-/Reverse-Proxy-Modus des SSL-VPN. Wer FortiOS auf 5.2.15, 5.4.13, 5.6.11, 6.0.5 oder 6.2.0 und neuer betreibt, ist gegen diese Lücke geschützt. Der reine SSL-VPN-Tunnel-Modus ist nicht anfällig. FortiProxy wird gesondert im Advisory FG-IR-20-229 behandelt.
Regulatorischer Hinweis: Führt die Ausnutzung zu einer erheblichen Störung des Fernzugangs oder zu einer bestätigten Kompromittierung, kann eine Meldepflicht bestehen – DSGVO unverzüglich (i. d. R. 72 h) bei Betroffenheit personenbezogener Daten, NIS-2 nach den für Sie geltenden Fristen. Die Meldung bleibt bei Ihnen; wir unterstützen bei Bewertung und Dokumentation.
In dieser Reihenfolge – erreichbare Instanzen finden, mitigieren, patchen, Kompromittierung ausschließen.
5.2.15 / 5.4.13 / 5.6.11 / 6.0.5) im Einsatz sind und ob das SSL-VPN im Web-/Reverse-Proxy-Modus aktiviert ist.5.2.15, 5.4.13, 5.6.11, 6.0.5, 6.2.0 oder neuer aktualisieren. Damit ist der Heap-Buffer-Overflow geschlossen.config vpn ssl settings\n set source-address <trusted-range>\nendZur Einordnung: Ein Crash des SSL-VPN-Web-Dienstes ist der unmittelbarste Hinweis. Da die eigentliche Auslösung über eine reguläre, weitergeleitete Web-Anfrage erfolgt, ist sie ohne detaillierte Zugriffs- und Krash-Logs schwer eindeutig zuzuordnen – die zuverlässigste Grundlage ist die Auswertung Ihrer SSL-VPN- und Authentifizierungs-Logs.
Wichtig: Diese Schwachstelle gehört zu der Gruppe von FortiOS-SSL-VPN-Lücken, die staatsnahe Angreifer seit 2021 aktiv ausnutzen. Auch wenn der Fix seit 2019 vorliegt, bleiben ungepatchte, aus dem Internet erreichbare FortiGate-Geräte ein bevorzugtes Ziel. Entscheidend ist, nicht nur zu patchen, sondern zuvor abgeflossene SSL-VPN-Zugangsdaten als kompromittiert zu behandeln und zu rotieren.
Fortinet PSIRT Advisory FG-IR-18-388 · NVD (CVSS 3.1: 6,5 MITTEL, Vektor AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H; CWE-787; Fortinet-CNA-Score 4,3) · CISA Known Exploited Vulnerabilities Catalog (aufgenommen 10.01.2022) · FBI/CISA Joint Advisory AA21-092A. Angaben nach bestem Wissen zum Stand 14.07.2026; Fixversion gegen das Hersteller-Advisory abgleichen. Argos Security ist ISO/IEC 27001 (TÜV SÜD) zertifiziert.
Für genau diese Schwachstelle ausgewählt – nicht für jede.
LAUFENDE LEISTUNG
Worauf wir im Cyber Defense Center bei dieser Schwachstelle achten: Wiederholte SSL-VPN-Web-Dienst-Abstürze und anomale Anmeldungen an FortiGate-SSL-VPN-Zugängen. Das setzt voraus, dass die dafür nötigen Logquellen angebunden sind. Auffälligkeiten eskalieren wir rund um die Uhr.
LAUFENDE LEISTUNG
Ein Fix steht bereit. Entscheidend ist, ob Sie alle betroffenen Systeme kennen und den Patchstand belegen können – auch gegenüber einer Aufsicht.
Unsere Leistungen ergänzen bestehende Hersteller- und Supportverträge, sie ersetzen sie nicht. Sie arbeiten bereits mit einem MDR-Anbieter? Dann holen Sie zu dieser Schwachstelle eine Zweitmeinung ein.