Ein Angreifer mit Administrationsrechten kann in den betroffenen FortiOS-Versionen über speziell gestaltete CLI-Kommandos aus dem vorgesehenen Verzeichnis ausbrechen und beliebige Dateien auf dem zugrundeliegenden Linux-System lesen und schreiben. In hochgezielten Angriffen auf Behörden wurde die Lücke – verkettet mit einer kompromittierten FortiManager-Instanz – genutzt, um die FortiGate-Firmware zu manipulieren und ein dauerhaftes Implantat zu verankern. Die Schwachstelle wurde als Zero-Day ausgenutzt und steht im CISA-KEV-Katalog.
Advisory als PDF herunterladenFortiOS prüft in den betroffenen Versionen die Pfadangaben bestimmter CLI-Kommandos nicht ausreichend (CWE-22). Ein Angreifer mit Administrationsrechten kann dadurch aus dem vorgesehenen Verzeichnis ausbrechen und beliebige Dateien auf dem zugrundeliegenden Linux-System der Firewall lesen und schreiben – bis hin zum Austausch von System- und Firmware-Bestandteilen. In den beobachteten Angriffen wurde die Lücke mit einer kompromittierten FortiManager-Instanz verkettet, über die die Kommandos an die verwalteten FortiGate-Geräte ausgeführt wurden.
/sbin/init wird so verändert, dass vor dem Boot das Implantat /bin/fgfm startet/bin/fgfm wartet auf einen ICMP-Trigger, öffnet eine Reverse-Shell zum Command-and-Control-Server, exfiltriert Daten und erlaubt Fernsteuerung| FortiOS-Version | Verwundbar | Fixversion |
|---|---|---|
| FortiOS 7.2.x | 7.2.0 – 7.2.3 | 7.2.4 |
| FortiOS 7.0.x | 7.0.0 – 7.0.9 | 7.0.10 |
| FortiOS 6.4.x | 6.4.0 – 6.4.11 | 6.4.12 |
| FortiOS 6.2.x | 6.2.0 – 6.2.13 | 6.2.14 |
| FortiOS 6.0.x | alle Versionen | kein Fix (EoL) – Migration |
Betroffen sind FortiOS 7.2.0–7.2.3, 7.0.0–7.0.9, 6.4.0–6.4.11, 6.2.0–6.2.13 sowie sämtliche Versionen des Zweigs 6.0. Für den End-of-Life-Zweig 6.0 stellt Fortinet keinen Fix bereit – hier ist die Migration auf einen unterstützten, korrigierten Zweig erforderlich. Die Ausnutzung setzt einen privilegierten Zugang voraus; in der beobachteten Kampagne wurde dieser über eine kompromittierte FortiManager-Instanz erlangt.
Regulatorischer Hinweis: Firewalls sind zentrale Sicherheitskomponenten – eine bestätigte Firmware-Manipulation oder ein daraus folgender Datenabfluss kann eine meldepflichtige Verletzung darstellen: DSGVO unverzüglich (i. d. R. 72 h), NIS-2 nach den für Sie geltenden Fristen. Die Meldung bleibt bei Ihnen; wir unterstützen bei Bewertung und Dokumentation.
In dieser Reihenfolge – Verwaltungszugang abschotten, patchen, Firmware-Integrität prüfen, Kompromittierung ausschließen.
trusted hosts / local-in policy auf autorisierte Hosts begrenzen und die Integrität der FortiManager-Instanz überprüfen.7.2.4, 7.0.10, 6.4.12 oder 6.2.14 bzw. neuer. Der End-of-Life-Zweig 6.0 erhält keinen Fix – hier auf einen unterstützten, korrigierten Zweig migrieren./bin/fgfm, eine veränderte /sbin/init, die von Fortinet veröffentlichten Datei-Hashes sowie die FIPS-Fehlermeldung Firmware Integrity self-test failed. Die von Fortinet genannten Log- und Netz-IoCs abgleichen./bin/fgfm und modifizierte/sbin/init auf dem Gerät47.252.20.90_;7(Zu9YTsA7qQ#vmFirmware Integrity self-test failedZur Einordnung: Fortinet hat im PSIRT-Blog Datei-Hashes für die Implantate (u. a. fgfm, auth, klogd) sowie die genannten Log- und Netzindikatoren veröffentlicht. FIPS-fähige Geräte erkennen die Firmware-Manipulation automatisch und wechseln in einen Fehlerzustand; auf Geräten ohne FIPS ist der Abgleich der Dateien und Hashes gegen einen bekannt-guten Stand der zuverlässigste Indikator.
Wichtig: Der Kern des Risikos liegt in der Persistenz auf Firmware-Ebene: Hat ein Angreifer die Lücke genutzt, um /sbin/init zu verändern und /bin/fgfm zu verankern, bleibt der Zugang auch nach dem Patch bestehen. Ein bloßes Update genügt dann nicht – ein kompromittiertes Gerät muss aus vertrauenswürdiger Firmware neu aufgesetzt werden.
Fortinet PSIRT Advisory FG-IR-22-369 und PSIRT-Analyse-Blog (Angriffskette, /bin/fgfm-Implantat, IoCs) · NVD (CVSS 3.1: 7,1 / AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N, CWE-22; Fortinet-eigene Bewertung 6,5 / mittel) · CISA Known Exploited Vulnerabilities Catalog (aufgenommen 14.03.2023, Frist 04.04.2023). Angaben nach bestem Wissen zum Stand 14.07.2026; Fixversionen gegen das Hersteller-Advisory abgleichen. Argos Security ist ISO/IEC 27001 (TÜV SÜD) zertifiziert.
Für genau diese Schwachstelle ausgewählt – nicht für jede.
SOFORTMASSNAHME
Zu dieser Schwachstelle sind Kompromittierungs-Indikatoren bekannt. Vor dem Patch gehört geprüft, ob sie bei Ihnen bereits gegriffen hat. Über den Notfallkontakt erreichen Sie uns rund um die Uhr; für Kunden mit IR-Vertrag mit Rückruf innerhalb von 30 Minuten.
LAUFENDE LEISTUNG
Worauf wir im Cyber Defense Center bei dieser Schwachstelle achten: Firmware-Integritätsanomalien, das Implantat /bin/fgfm, ICMP-getriggerte Reverse-Shells und C2-Verbindungen zu 47.252.20.90. Das setzt voraus, dass die dafür nötigen Logquellen angebunden sind. Auffälligkeiten eskalieren wir rund um die Uhr.
LAUFENDE LEISTUNG
Wenn eine Ausnutzung erst nach dem Einstieg sichtbar wird, entscheidet die Korrelation über Endpunkt, Netzwerk und Identität.
Unsere Leistungen ergänzen bestehende Hersteller- und Supportverträge, sie ersetzen sie nicht. Sie arbeiten bereits mit einem MDR-Anbieter? Dann holen Sie zu dieser Schwachstelle eine Zweitmeinung ein.