In der Standardkonfiguration prüft FortiOS die Identität des LDAP-Servers nicht. Ein nicht authentifizierter Angreifer im selben Subnetz kann sich dadurch als LDAP-Server ausgeben, den Authentifizierungsverkehr abfangen und sensible Informationen – darunter Zugangsdaten – mitlesen (Man-in-the-Middle). Die Schwachstelle steht auf der CISA-KEV-Liste und wurde im Verbund mit weiteren FortiOS-Lücken von APT-Gruppen aktiv ausgenutzt.
Advisory als PDF herunterladenFortiOS überprüft in den betroffenen Versionen in der Standardkonfiguration die Identität des angebundenen LDAP-Servers nicht – die Option server-identity-check ist nicht aktiv. Ein nicht authentifizierter Angreifer im selben Subnetz kann sich dadurch als LDAP-Server ausgeben, die Verbindung auf sich umleiten und den zur Authentifizierung übertragenen Datenverkehr abfangen und mitlesen (Man-in-the-Middle). Ursache ist eine unsichere Voreinstellung, kein Programmierfehler.
| FortiOS-Version | Verwundbar | Fixversion |
|---|---|---|
| FortiOS (LDAP/FSSO) | ≤ 6.2.0 | 6.2.1 |
| FortiOS 6.2.1 und neuer | nur bei aus Alt-Version übernommener Einstellung | server-identity-check aktivieren |
Betroffen ist FortiOS in allen Versionen bis einschließlich 6.2.0, sofern LDAP-/FSSO-Authentifizierung ohne aktivierte Server-Identitätsprüfung genutzt wird. Ab 6.2.1 ist server-identity-check bei einer Neuinstallation standardmäßig aktiv – ein Firmware-Upgrade allein schließt die Lücke jedoch nicht: aus Kompatibilitätsgründen bleibt der bestehende Wert der Einstellung beim Update unverändert und muss aktiv geprüft und gesetzt werden.
Regulatorischer Hinweis: Werden über den abgefangenen Verkehr Zugangsdaten oder personenbezogene Daten kompromittiert, kann dies eine meldepflichtige Verletzung darstellen – DSGVO unverzüglich (i. d. R. 72 h), NIS-2 nach den für Sie geltenden Fristen. Die Meldung bleibt bei Ihnen; wir unterstützen bei Bewertung und Dokumentation.
In dieser Reihenfolge – Betroffenheit prüfen, Server-Identitätsprüfung aktivieren, aktualisieren und Einstellung verifizieren, Zugangsdaten absichern.
6.2.0 im Einsatz ist und ob LDAP- bzw. FSSO-Authentifizierung genutzt wird. Auch bereits aktualisierte Systeme prüfen – die Einstellung wird beim Upgrade nicht automatisch gesetzt.server-identity-check setzen. Damit ist die Lücke unabhängig von der FortiOS-Version geschlossen.config user ldap
edit "ldap-server"
set ca-cert <ldap-server-certificate>
set secure ldaps
set server-identity-check enable
next
end6.2.1 ist die Prüfung bei Neuinstallation Standard). Nach dem Update zwingend kontrollieren, dass server-identity-check tatsächlich aktiv ist – der Wert bleibt beim Upgrade unverändert.server-identity-check je LDAP-Servershow user ldapZur Einordnung: Ein aktiver Man-in-the-Middle hinterlässt auf der FortiGate selbst kaum Spuren. Der belastbarste Nachweis ist der Konfigurationszustand (server-identity-check aktiv?); ein zurückliegender Angriff lässt sich meist nur über Netz-/Verzeichnis-Logs und ungewöhnliche Anmeldemuster rekonstruieren.
Wichtig: Der Kern des Risikos ist die unsichere Voreinstellung: Ein Firmware-Upgrade allein behebt die Lücke nicht, weil FortiOS den bestehenden Wert von server-identity-check beim Update aus Kompatibilitätsgründen beibehält. Entscheidend ist, die Server-Identitätsprüfung aktiv zu setzen und nach jedem Update zu verifizieren.
Fortinet PSIRT Advisory FG-IR-19-037 (veröffentlicht 26.07.2019, Abhilfe server-identity-check, ab FortiOS 6.2.1 Standard bei Neuinstallation) · NVD (CVSS 3.1: 6,5 MITTEL, Vektor AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N; CVSS 2.0: 3,3; CWE-306) · CISA Known Exploited Vulnerabilities Catalog (aufgenommen 03.11.2021, Frist 03.05.2022) · FBI/CISA Joint Advisory vom 02.04.2021 zur APT-Ausnutzung von FortiOS-Schwachstellen. Angaben nach bestem Wissen zum Stand 14.07.2026; Fixversion und Konfiguration gegen das Hersteller-Advisory abgleichen. Argos Security ist ISO/IEC 27001 (TÜV SÜD) zertifiziert.
Für genau diese Schwachstelle ausgewählt – nicht für jede.
LAUFENDE LEISTUNG
Worauf wir im Cyber Defense Center bei dieser Schwachstelle achten: Auffällige LDAP-Antworten im Subnetz und Anmeldungen mit über den abgefangenen Verkehr erlangten Verzeichniskonten. Das setzt voraus, dass die dafür nötigen Logquellen angebunden sind. Auffälligkeiten eskalieren wir rund um die Uhr.
LAUFENDE LEISTUNG
Ein Fix steht bereit. Entscheidend ist, ob Sie alle betroffenen Systeme kennen und den Patchstand belegen können – auch gegenüber einer Aufsicht.
Unsere Leistungen ergänzen bestehende Hersteller- und Supportverträge, sie ersetzen sie nicht. Sie arbeiten bereits mit einem MDR-Anbieter? Dann holen Sie zu dieser Schwachstelle eine Zweitmeinung ein.