SECURITY ADVISORY

Pre-Auth-RCE im Fortinet SSL-VPN („XORtigate“)

Ein nicht authentifizierter Angreifer aus dem Netz kann über einen Heap-basierten Pufferüberlauf in der SSL-VPN-Komponente von FortiOS und FortiProxy beliebigen Code auf der Firewall ausführen – ohne gültige Zugangsdaten und ohne Zutun eines Nutzers. Betroffen ist genau das Gerät, das das Unternehmensnetz nach außen absichern soll. Die unter dem Namen „XORtigate“ bekannte Schwachstelle wird aktiv ausgenutzt und steht im CISA-KEV-Katalog, auch im Zusammenhang mit Ransomware.

CVE-ID

CVE-2023-27997

CVSS

9,8

Schweregrad

Kritisch

Hersteller

Fortinet

Produkt

Fortinet FortiOS und FortiProxy SSL-VPN

Veröffentlicht

14.07.2026

CISA-KEV

Gelistet

Advisory als PDF herunterladen

Analyse

Warum die Lücke wirkt

Die SSL-VPN-Komponente von FortiOS und FortiProxy verarbeitet speziell präparierte Anfragen fehlerhaft und schreibt dabei über die Grenzen eines Speicherbereichs auf dem Heap hinaus (Heap-based Buffer Overflow, CWE-122 / CWE-787). Ein nicht authentifizierter Angreifer kann diesen Überlauf gezielt ausnutzen, um eigenen Code einzuschleusen und auf dem Gerät auszuführen. Anfällig ist jedes System mit aktiviertem SSL-VPN-Webportal.

Angriffskette

  1. SSL-VPN exponiert – das SSL-VPN-Webportal ist aus dem Internet erreichbar
  2. Präparierte Anfrage – unauthentifizierte, gezielt gestaltete Anfrage löst den Heap-Überlauf aus
  3. Codeausführung – der Angreifer führt beliebigen Code direkt auf der Firewall aus
  4. Ausweitung – VPN-Zugänge und Sitzungen abgreifen, ins interne Netz bewegen, bis hin zur Ransomware

Betroffene Versionen und Fixes

FortiOS / FortiProxy-VersionVerwundbarFixversion
FortiOS 7.27.2.0 – 7.2.47.2.5
FortiOS 7.07.0.0 – 7.0.117.0.12
FortiOS 6.46.4.0 – 6.4.126.4.13
FortiOS 6.26.2.0 – 6.2.136.2.14
FortiOS 6.06.0.0 – 6.0.166.0.17
FortiProxy 7.27.2.0 – 7.2.37.2.4
FortiProxy 7.07.0.0 – 7.0.97.0.10
FortiProxy 2.02.0.0 – 2.0.122.0.13
FortiProxy 1.1 / 1.2alle Versionenauf gepatchten Zweig migrieren

Betroffen sind FortiOS und FortiProxy in den genannten Versionen mit aktiviertem SSL-VPN. Fortinet nennt zusätzlich die FortiOS-6K7K-Plattformen mit eigenen Fixständen – prüfen Sie diese anhand des Hersteller-Advisories. Systeme ohne aktiviertes SSL-VPN sind für diese Schwachstelle nicht angreifbar; ein Update wird dennoch dringend empfohlen.

Regulatorischer Hinweis: Firewalls sind zentrale Sicherheitskomponenten – eine bestätigte Kompromittierung oder ein Abfluss von Zugangs- bzw. personenbezogenen Daten kann eine meldepflichtige Verletzung darstellen: DSGVO unverzüglich (i. d. R. 72 h), NIS-2 nach den für Sie geltenden Fristen. Die Meldung bleibt bei Ihnen; wir unterstützen bei Bewertung und Dokumentation.

Chronologie

  • 12.06.2023 – Fortinet veröffentlicht Advisory FG-IR-23-097 mit Fixversionen
  • 13.06.2023 – CISA nimmt CVE-2023-27997 in den KEV-Katalog auf – aktive Ausnutzung
  • Juni 2023 – Bishop Fox veröffentlicht technische Analyse und PoC unter dem Namen „XORtigate“
  • 04.07.2023 – KEV-Frist für US-Behörden zum Patchen

Maßnahmenplan

In dieser Reihenfolge – SSL-VPN absichern, patchen, Zugangsdaten rotieren, Kompromittierung ausschließen.

  • Sofort: Patchen oder SSL-VPN deaktivieren
  • Kurzfristig: VPN-Zugangsdaten & Sitzungen rotieren
  • Parallel: Threat Hunting / IoC-Abgleich
  1. Betroffenheit feststellen
    Prüfen, ob FortiOS- oder FortiProxy-Geräte in einer betroffenen Version im Einsatz sind und ob das SSL-VPN aktiviert und aus dem Internet erreichbar ist. Version über die CLI (get system status) oder die Weboberfläche verifizieren.
  2. Patchen (vorrangig)
    Auf die jeweils gefixte Version aktualisieren: FortiOS 7.2.5 / 7.0.12 / 6.4.13 / 6.2.14 / 6.0.17 oder neuer, FortiProxy entsprechend 7.2.4 / 7.0.10 / 2.0.13. Damit ist der Pufferüberlauf geschlossen.
  3. Behelfsmaßnahme, wenn Patch nicht sofort möglich
    Ist ein sofortiges Update nicht möglich, das SSL-VPN vollständig deaktivieren. Von Fortinet als einzige belastbare Behelfsmaßnahme benannt – eine reine Firewall-Regel auf dem betroffenen Gerät genügt nicht.
  4. Zugangsdaten als kompromittiert behandeln
    Bei exponierten, ungepatchten Geräten alle VPN-Benutzer- und Admin-Zugangsdaten sowie vorinstallierte Zertifikate/Schlüssel rotieren und aktive VPN-Sitzungen beenden – ein Patch macht bereits abgeflossene Geheimnisse nicht ungültig.
  5. Kompromittierung ausschließen
    System- und VPN-Logs auf ungewöhnliche Anmeldungen, unbekannte Administrator-Konten, geänderte Konfigurationen und auffällige Prozesse prüfen. Bei Verdacht die von Fortinet und CISA veröffentlichten Indikatoren abgleichen.
    execute log filter category event ; execute log display

Kompromittierungs-Indikatoren

  • Auffällige Aktivität: Unerwartete Abstürze/Neustarts des
    sslvpnd-Prozesses oder Crash-Logs
  • Kompromittierungs-Check: Neue oder unbekannte Admin-Konten,
    geänderte Firewall-/VPN-Konfiguration
  • Folgeindikatoren: Ungewöhnliche VPN-Anmeldungen und
    laterale Bewegung aus dem VPN-Netz

Zur Einordnung: Die Ausnutzung läuft über reguläre SSL-VPN-Anfragen und hinterlässt nicht zwingend eindeutige Spuren. Fortinet nennt Abstürze des SSL-VPN-Dienstes als möglichen Hinweis; der zuverlässigste Indikator bleibt die Auswertung Ihrer VPN- und Authentifizierungs-Logs sowie ein Abgleich mit den offiziellen IoCs von Fortinet und CISA.

Wichtig: Diese Schwachstelle trifft die Firewall selbst – das Gerät, das das Netz schützen soll. Weil sie unauthentifiziert und aus dem Internet ausnutzbar ist, aktiv ausgenutzt wird und im KEV-Katalog steht, zählt jede Stunde. Wer nicht sofort patchen kann, muss das SSL-VPN abschalten. Und da bereits abgeflossene Zugangsdaten einen Patch überdauern, ist deren Rotation ebenso wichtig wie das Update.

Empfehlung für die Geschäftsleitung

  • Betroffene FortiOS-/FortiProxy-Geräte heute auf die gefixte Version patchen; wo das nicht sofort geht, das SSL-VPN abschalten.
  • VPN- und Admin-Zugangsdaten der exponierten Geräte rotieren und aktive Sitzungen beenden lassen.
  • Prüfen lassen, ob bereits ein Zugriff erfolgt ist – dokumentiert für eine etwaige Meldung nach NIS-2 / DSGVO.

Primärquellen

Fortinet PSIRT Advisory FG-IR-23-097 (veröffentlicht 12.06.2023, Fixversionen) · NVD CVE-2023-27997 (CVSS 3.1: 9,8 KRITISCH, Vektor AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, CWE-787 / CWE-122; Fortinet-eigener Score 9,2) · CISA Known Exploited Vulnerabilities Catalog (aufgenommen 13.06.2023, Frist 04.07.2023, Nutzung u. a. in Ransomware) · Bishop Fox Attack Research („XORtigate“, PoC). Angaben nach bestem Wissen zum Stand 14.07.2026; Fixversion gegen das Hersteller-Advisory abgleichen. Argos Security ist ISO/IEC 27001 (TÜV SÜD) zertifiziert.

So unterstützt Sie Argos Security

Für genau diese Schwachstelle ausgewählt – nicht für jede.

  • SOFORTMASSNAHME

    Kompromittierung prüfen →

    Zu dieser Schwachstelle sind Kompromittierungs-Indikatoren bekannt. Vor dem Patch gehört geprüft, ob sie bei Ihnen bereits gegriffen hat. Über den Notfallkontakt erreichen Sie uns rund um die Uhr; für Kunden mit IR-Vertrag mit Rückruf innerhalb von 30 Minuten.

  • LAUFENDE LEISTUNG

    Cyber Defense Center →

    Worauf wir im Cyber Defense Center bei dieser Schwachstelle achten: Anomale SSL-VPN-Anfragen, Abstürze des sslvpnd-Prozesses und verdächtige VPN-Anmeldungen auf Fortinet-Geräten. Das setzt voraus, dass die dafür nötigen Logquellen angebunden sind. Auffälligkeiten eskalieren wir rund um die Uhr.

  • STRUKTURELL

    ZTNA – Zero Trust Network Access →

    Solange der Dienst aus dem Internet erreichbar ist, bleibt er Ziel. Mittelfristig kann ein ZTNA-Ansatz diese Exposition verringern. Kurzfristig zählt der Patch.

Unsere Leistungen ergänzen bestehende Hersteller- und Supportverträge, sie ersetzen sie nicht. Sie arbeiten bereits mit einem MDR-Anbieter? Dann holen Sie zu dieser Schwachstelle eine Zweitmeinung ein.