In den betroffenen FortiOS-Versionen lädt der CLI-Befehl execute restore src-vis Update-Pakete, ohne deren Integrität oder Signatur zu prüfen. Ein lokal authentifizierter Angreifer kann darüber ein manipuliertes Paket unterschieben und beliebige Dateien und Programmcode auf die Firewall schreiben – die ideale Grundlage für einen dauerhaften, schwer auffindbaren Implantat auf dem Perimeter-Gerät. Fortinet hat einen Fall bestätigt, in dem die Schwachstelle bereits missbraucht wurde; die CISA führt sie im Katalog aktiv ausgenutzter Schwachstellen.
Advisory als PDF herunterladenDer FortiOS-CLI-Befehl execute restore src-vis lädt ein Update-Paket, ohne dessen Integrität oder digitale Signatur zu prüfen (CWE-494 – Download of Code Without Integrity Check). Ein lokal authentifizierter Angreifer kann dadurch ein eigens präpariertes Paket unterschieben und über den Wiederherstellungs-Vorgang beliebige Dateien auf das Gerät schreiben. Der offizielle Fix beseitigt die Schwachstelle, indem der anfällige Befehl vollständig aus FortiOS entfernt wird.
execute restore src-vis mit einem manipulierten Update-Paket/data2/ und /bin/, unerwartete Prozesse und C&C-Verkehr zu externen IP-Adressen| FortiOS-Zweig | Verwundbar | Fixversion |
|---|---|---|
| FortiOS 6.0 | ≤ 6.0.13 | 6.0.14 |
| FortiOS 6.2 | ≤ 6.2.9 | 6.2.10 |
| FortiOS 6.4 | ≤ 6.4.7 | 6.4.8 |
| FortiOS 7.0 | 7.0.0 – 7.0.2 | 7.0.3 |
Betroffen sind FortiOS-Stände unterhalb der genannten Fixversionen; FortiOS 7.2 und neuer sind im Advisory nicht als verwundbar geführt. Der Fix entfernt den Befehl restore src-vis vollständig – ein reines Update auf die Zielversion schließt die Lücke also zuverlässig. Da die Ausnutzung einen authentifizierten Zugang voraussetzt, ist die Härtung des Admin-Zugriffs (starke, rotierte Zugangsdaten, MFA, Trusted Hosts) eine wesentliche flankierende Maßnahme.
Regulatorischer Hinweis: Wird die Firewall über diese Schwachstelle kompromittiert und fließen dabei Zugangsdaten oder personenbezogene Daten ab, kann eine meldepflichtige Verletzung vorliegen – DSGVO unverzüglich (i. d. R. 72 h), NIS-2 nach den für Sie geltenden Fristen. Die Meldung bleibt bei Ihnen; wir unterstützen bei Bewertung und Dokumentation.
In dieser Reihenfolge – Admin-Zugang härten, patchen, auf Kompromittierung prüfen, im Verdachtsfall forensisch aufarbeiten.
6.0.14 / 6.2.10 / 6.4.8 / 7.0.3. Auch selten gewartete Außenstellen- und Reserve-Geräte einbeziehen.6.0.14 / 6.2.10 / 6.4.8 / 7.0.3). Der Fix entfernt den anfälligen Befehl restore src-vis vollständig./data2/ und /bin/, unbekannte laufende Prozesse sowie ausgehenden Verkehr zu fremden C&C-Adressen. Zusätzlich Admin-Login-Logs auf unerklärte Anmeldungen durchsehen./data2/ und /bin/Zur Einordnung: Dies sind die von Fortinet im Advisory FG-IR-21-201 genannten Kompromittierungshinweise. Da die Ausnutzung über einen authentifizierten Zugang und einen regulären CLI-Vorgang läuft, ist zusätzlich die Auswertung der Admin-Authentifizierungs- und Konfigurations-Logs auf unerklärte Anmeldungen der zuverlässigste flankierende Indikator.
Wichtig: Der Fix beseitigt die Schwachstelle, indem der anfällige Befehl entfernt wird – er macht aber ein bereits platziertes Implantat nicht rückgängig. Wurde das Gerät vor dem Patch kompromittiert, bleibt der Angreifer-Zugang bestehen, bis das System aus vertrauenswürdiger Firmware neu aufgesetzt und alle Geheimnisse rotiert sind. Deshalb gehört die Kompromittierungsprüfung ebenso dazu wie das Update.
Fortinet PSIRT Advisory FG-IR-21-201 (Removal of `restore src-vis` command, veröffentlicht 07.12.2021) · NVD (NIST-CVSS 3.1: 7,8 / HOCH, Vektor AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H; Fortinet-CNA-Bewertung 3,3 / NIEDRIG; CWE-494) · CISA Known Exploited Vulnerabilities Catalog (aufgenommen 10.12.2021, Frist 24.12.2021). Angaben nach bestem Wissen zum Stand 14.07.2026; Fixversion gegen das Hersteller-Advisory abgleichen. Argos Security ist ISO/IEC 27001 (TÜV SÜD) zertifiziert.
Für genau diese Schwachstelle ausgewählt – nicht für jede.
SOFORTMASSNAHME
Zu dieser Schwachstelle sind Kompromittierungs-Indikatoren bekannt. Vor dem Patch gehört geprüft, ob sie bei Ihnen bereits gegriffen hat. Über den Notfallkontakt erreichen Sie uns rund um die Uhr; für Kunden mit IR-Vertrag mit Rückruf innerhalb von 30 Minuten.
LAUFENDE LEISTUNG
Worauf wir im Cyber Defense Center bei dieser Schwachstelle achten: Anomale Admin-Anmeldungen an FortiGate-Systemen und ausgehender C&C-Verkehr von Firewalls. Das setzt voraus, dass die dafür nötigen Logquellen angebunden sind. Auffälligkeiten eskalieren wir rund um die Uhr.
LAUFENDE LEISTUNG
Wenn eine Ausnutzung erst nach dem Einstieg sichtbar wird, entscheidet die Korrelation über Endpunkt, Netzwerk und Identität.
Unsere Leistungen ergänzen bestehende Hersteller- und Supportverträge, sie ersetzen sie nicht. Sie arbeiten bereits mit einem MDR-Anbieter? Dann holen Sie zu dieser Schwachstelle eine Zweitmeinung ein.