Ein Angreifer kann sich am FortiOS SSL-VPN anmelden, ohne nach dem zweiten Faktor (FortiToken) gefragt zu werden – indem er die Groß-/Kleinschreibung eines gültigen Benutzernamens verändert. Ursache ist eine unterschiedliche Behandlung der Schreibweise zwischen FortiGate und angebundenem LDAP-Verzeichnis. Mit gültigem Passwort, aber ohne zweiten Faktor, steht damit der VPN-Zugang und das dahinterliegende Unternehmensnetz offen. Die Schwachstelle steht seit November 2021 im CISA-KEV-Katalog und wird bis Ende 2025 aktiv ausgenutzt.
Advisory als PDF herunterladenFortiGate behandelt Benutzernamen standardmäßig als groß-/kleinschreibungssensitiv, die meisten LDAP-Verzeichnisse dagegen nicht. Meldet sich ein Nutzer mit einer abweichend geschriebenen Variante seines gültigen Namens an (etwa Admin statt admin), authentifiziert das LDAP-Verzeichnis ihn korrekt, FortiOS ordnet die Anmeldung aber keinem lokalen Konto mit hinterlegtem zweiten Faktor zu – und lässt ihn ohne FortiToken-Abfrage passieren.
| FortiOS-Version | Verwundbar | Fixversion |
|---|---|---|
| FortiOS 6.4 | 6.4.0 | 6.4.1 |
| FortiOS 6.2 | 6.2.0 – 6.2.3 | 6.2.4 |
| FortiOS 6.0 | 6.0.9 und älter | 6.0.10 |
Betroffen ist der SSL-VPN-Dienst in FortiOS 6.4.0, 6.2.0 bis 6.2.3 sowie 6.0.9 und älter, wenn die Benutzerauthentifizierung gegen ein LDAP-Verzeichnis läuft. Die Schwachstelle greift nur, wenn Zwei-Faktor-Authentifizierung eingesetzt wird – gerade die vermeintlich abgesicherten Zugänge sind gefährdet.
Regulatorischer Hinweis: Ein bestätigter unbefugter Zugriff auf das Unternehmensnetz oder ein Abfluss personenbezogener Daten kann eine meldepflichtige Verletzung darstellen – DSGVO unverzüglich (i. d. R. 72 h), NIS-2 nach den für Sie geltenden Fristen. Die Meldung bleibt bei Ihnen; wir unterstützen bei Bewertung und Dokumentation.
In dieser Reihenfolge – exponierte Version feststellen, mitigieren, patchen, kompromittierte Zugänge ausschließen.
6.4.0, 6.2.0–6.2.3 oder 6.0.9 und älter im Einsatz ist, das SSL-VPN über das Internet erreichbar ist und die Benutzer gegen LDAP mit Zwei-Faktor-Authentifizierung anmelden.config user ldap
edit <server>
set username-case-sensitivity enable
next
endFortiOS 6.4.1, 6.2.4, 6.0.10 oder neuer aktualisieren. Damit ist der 2FA-Bypass geschlossen.# FortiOS: VPN-Login-Ereignisse auswerten
execute log filter category event
execute log filter field subtype vpn
execute log displayz. B. Admin statt adminZur Einordnung: Ein sauberer Bypass hinterlässt eine erfolgreiche Anmeldung ohne 2FA-Abfrage – ohne detaillierte VPN-Authentifizierungs-Logs schwer zu erkennen. Der zuverlässigste Indikator ist der Abgleich erfolgreicher SSL-VPN-Logins gegen die Schreibweise der hinterlegten Konten und gegen Quell-IP/Geolokation.
Wichtig: Der zweite Faktor schützt hier nicht: Wer Benutzername und Passwort besitzt, umgeht die 2FA allein durch geänderte Schreibweise. Deshalb reicht es nicht, sich auf aktiviertes FortiToken zu verlassen – erst der Patch oder die erzwungene Case-Sensitivity schließt die Lücke, und bereits erlangte Zugänge müssen aktiv ausgeschlossen werden.
Fortinet PSIRT Advisory FG-IR-19-283 (Fixes FortiOS 6.4.1 / 6.2.4 / 6.0.10, Workaround username-case-sensitivity) · NVD (CVSS 3.1: 9,8 KRITISCH, Vektor AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H; CWE-178 / CWE-287) · CISA Known Exploited Vulnerabilities Catalog (aufgenommen 03.11.2021, Frist 03.05.2022). Fortinet selbst bewertet die Lücke im Advisory mit 5,2 (mittel); der hier ausgewiesene KRITISCH-Wert folgt dem maßgeblichen NVD-Basiswert. Angaben nach bestem Wissen zum Stand 14.07.2026; Fixversion gegen das Hersteller-Advisory abgleichen. Argos Security ist ISO/IEC 27001 (TÜV SÜD) zertifiziert.
Für genau diese Schwachstelle ausgewählt – nicht für jede.
SOFORTMASSNAHME
Zu dieser Schwachstelle sind Kompromittierungs-Indikatoren bekannt. Vor dem Patch gehört geprüft, ob sie bei Ihnen bereits gegriffen hat. Über den Notfallkontakt erreichen Sie uns rund um die Uhr; für Kunden mit IR-Vertrag mit Rückruf innerhalb von 30 Minuten.
LAUFENDE LEISTUNG
Worauf wir im Cyber Defense Center bei dieser Schwachstelle achten: SSL-VPN-Anmeldungen mit abweichender Schreibweise des Benutzernamens und Logins ohne zugehöriges 2FA-Ereignis. Das setzt voraus, dass die dafür nötigen Logquellen angebunden sind. Auffälligkeiten eskalieren wir rund um die Uhr.
STRUKTURELL
Solange der Dienst aus dem Internet erreichbar ist, bleibt er Ziel. Mittelfristig kann ein ZTNA-Ansatz diese Exposition verringern. Kurzfristig zählt der Patch.
Unsere Leistungen ergänzen bestehende Hersteller- und Supportverträge, sie ersetzen sie nicht. Sie arbeiten bereits mit einem MDR-Anbieter? Dann holen Sie zu dieser Schwachstelle eine Zweitmeinung ein.