Ein nicht authentifizierter Angreifer aus dem Netz kann über eine SQL-Injection eigene Datenbankbefehle in FortiClientEMS einschleusen. Weil der Data-Access-Server die manipulierten Anfragen an einen Microsoft-SQL-Server weiterreicht, lässt sich der Angriff bis zur Ausführung beliebiger Systembefehle ausweiten – FortiClientEMS verwaltet zentral die Endpunkt-Sicherheit ganzer Unternehmen. Die Schwachstelle wird seit März 2024 aktiv ausgenutzt und steht im CISA-KEV-Katalog.
Advisory als PDF herunterladenDer Dienst FmcDaemon von FortiClientEMS nimmt auf TCP-Port 8013 Verbindungen entgegen und übergibt einen vom Client kontrollierten Parameter (FCTUID) ohne ausreichende Prüfung an den Data-Access-Server (FCTDas). Dieser setzt die Anfrage in eine SQL-Abfrage gegen einen Microsoft-SQL-Server um. Ein nicht authentifizierter Angreifer kann so eigene SQL-Befehle einschleusen und – durch Aktivieren von xp_cmdshell – Systembefehle mit den Rechten des Datenbankdienstes ausführen.
8013 ist über das Netz erreichbarxp_cmdshell beliebige Systembefehle und Übernahme des Servers| FortiClientEMS-Version | Verwundbar | Fixversion |
|---|---|---|
| FortiClientEMS 7.2 | 7.2.0 - 7.2.2 | 7.2.3 |
| FortiClientEMS 7.0 | 7.0.1 - 7.0.10 | 7.0.11 |
| FortiClientEMS 6.4 | nicht betroffen | — |
Betroffen sind FortiClientEMS 7.2.0 bis 7.2.2 sowie 7.0.1 bis 7.0.10. Fortinet stellt die Fixes in 7.2.3 und 7.0.11 bereit; Version 6.4 ist nach Herstellerangabe nicht betroffen. FortiSASE-Instanzen wurden von Fortinet bereits am 5. März 2024 zentral gepatcht.
Regulatorischer Hinweis: Ein bestätigter Zugriff auf den Management-Server oder ein Abfluss personenbezogener Daten kann eine meldepflichtige Verletzung darstellen – DSGVO unverzüglich (i. d. R. 72 h), NIS-2 nach den für Sie geltenden Fristen. Die Meldung bleibt bei Ihnen; wir unterstützen bei Bewertung und Dokumentation.
In dieser Reihenfolge – Zugriff einschränken, patchen, Kompromittierung ausschließen, Zugangsdaten rotieren.
7.0.1 und 7.0.10 bzw. 7.2.0 und 7.2.2 im Einsatz und der Dienst-Port 8013 über das Netz erreichbar ist.8013 – strikt auf autorisierte Hosts und Netze begrenzen und die Erreichbarkeit aus dem Internet unterbinden.FortiClientEMS 7.2.3 bzw. 7.0.11 oder neuer aktualisieren. Damit ist die SQL-Injection geschlossen.xp_cmdshell aktiviert wurde – ein starkes Zeichen für eine bereits erfolgte Ausnutzung. Ein Patch entfernt keinen bereits eingerichteten Zugang.SELECT value_in_use FROM sys.configurations WHERE name = 'xp_cmdshell';xp_cmdshell-Aufrufe und die EMS-Logs unter C:\Program Files (x86)\Fortinet\FortiClientEMS\logs auf fremde Verbindungen zu Port 8013 durchsuchen; im Verdachtsfall Dienst-, Datenbank- und Admin-Zugangsdaten rotieren.xp_cmdshell auf demFmcDaemon auf Port 8013C:\Program Files (x86)\Fortinet\
FortiClientEMS\logs auf Anomalien prüfenZur Einordnung: Der zuverlässigste Hinweis auf eine erfolgte Ausnutzung ist die Aktivierung und Nutzung von xp_cmdshell in den SQL-Server-Logs. Da die Injection über reguläre Dienst-Anfragen an Port 8013 läuft, ist sie ohne detaillierte Verbindungs- und Datenbank-Logs schwer zu erkennen – Fortinet nennt im Advisory keine festen IoCs.
Wichtig: Die Gefahr endet nicht bei der Datenbank: Über xp_cmdshell wird aus der SQL-Injection eine vollständige Serverübernahme. Wurde die Lücke bereits ausgenutzt, kann ein hinterlassener Zugang auch nach dem Patch bestehen bleiben – deshalb ist die Prüfung auf Kompromittierung ebenso wichtig wie das Update.
Fortinet PSIRT Advisory FG-IR-24-007 (CVSS 3.1: 9,3; Fixes 7.2.3 / 7.0.11) · NVD CVE-2023-48788 (CVSS 3.1: 9,8 / KRITISCH, CWE-89, Vektor AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) · CISA Known Exploited Vulnerabilities Catalog (aufgenommen 25.03.2024, Frist 15.04.2024) · Horizon3.ai Attack Research (Deep-Dive + PoC). Angaben nach bestem Wissen zum Stand 14.07.2026; Fixversion gegen das Hersteller-Advisory abgleichen. Argos Security ist ISO/IEC 27001 (TÜV SÜD) zertifiziert.
Für genau diese Schwachstelle ausgewählt – nicht für jede.
SOFORTMASSNAHME
Zu dieser Schwachstelle sind Kompromittierungs-Indikatoren bekannt. Vor dem Patch gehört geprüft, ob sie bei Ihnen bereits gegriffen hat. Über den Notfallkontakt erreichen Sie uns rund um die Uhr; für Kunden mit IR-Vertrag mit Rückruf innerhalb von 30 Minuten.
LAUFENDE LEISTUNG
Worauf wir im Cyber Defense Center bei dieser Schwachstelle achten: Anomale Verbindungen zu FmcDaemon auf Port 8013 und die Aktivierung/Nutzung von xp_cmdshell auf dem SQL-Server. Das setzt voraus, dass die dafür nötigen Logquellen angebunden sind. Auffälligkeiten eskalieren wir rund um die Uhr.
LAUFENDE LEISTUNG
Auf verwalteten Endpunkten lässt sich eine Ausnutzung nachgelagert erkennen und eingrenzen, auch wenn der Patch noch nicht überall ausgerollt ist.
Unsere Leistungen ergänzen bestehende Hersteller- und Supportverträge, sie ersetzen sie nicht. Sie arbeiten bereits mit einem MDR-Anbieter? Dann holen Sie zu dieser Schwachstelle eine Zweitmeinung ein.