SECURITY ADVISORY

Pre-Auth-RCE im SSL-VPN von Fortinet FortiOS

Ein nicht authentifizierter Angreifer aus dem Internet kann über den SSL-VPN-Dienst (sslvpnd) von FortiOS mit speziell präparierten HTTP-Anfragen einen Speicherfehler auslösen und darüber beliebigen Code ausführen – ohne gültige Anmeldedaten. Betroffen ist jedes Gerät mit aktiviertem, erreichbarem SSL-VPN; öffentliche Exploits kursieren, und die Schwachstelle wird nachweislich ausgenutzt – auch in Ransomware-Kampagnen.

CVE-ID

CVE-2024-21762

CVSS

9,8

Schweregrad

Kritisch

Hersteller

Fortinet

Produkt

FortiOS / FortiProxy (SSL-VPN)

Veröffentlicht

14.07.2026

CISA-KEV

Gelistet

Advisory als PDF herunterladen

Analyse

Warum die Lücke wirkt

Der SSL-VPN-Web-Daemon sslvpnd verarbeitet speziell präparierte HTTP-Anfragen fehlerhaft und schreibt dabei über die Grenzen eines vorgesehenen Speicherbereichs hinaus (Out-of-bounds Write, CWE-787). Öffentliche Analysen führen den Fehler auf die Verarbeitung von HTTP-Anfragen mit chunked-Transfer-Encoding zurück. Ein nicht authentifizierter Angreifer kann diesen Speicherfehler kontrolliert auslösen und so beliebigen Code auf dem Gerät ausführen – noch vor jeder Anmeldung.

Angriffskette

  1. SSL-VPN exponiert – der SSL-VPN-Dienst von FortiOS ist aus dem Internet erreichbar
  2. Anfrage präparieren – speziell geformte HTTP-Anfrage (u. a. via chunked-Encoding) an sslvpnd
  3. Speicher überschreiben – die Anfrage löst einen Out-of-bounds-Write über den Puffer hinaus aus
  4. Code-Ausführung – der kontrollierte Speicherfehler mündet in Codeausführung ohne Anmeldung

Betroffene Versionen und Fixes

Produkt / ZweigVerwundbarFixversion
FortiOS 7.47.4.0 – 7.4.27.4.3
FortiOS 7.27.2.0 – 7.2.67.2.7
FortiOS 7.07.0.0 – 7.0.137.0.14
FortiOS 6.46.4.0 – 6.4.146.4.15
FortiOS 6.26.2.0 – 6.2.156.2.16
FortiOS 6.06.0.0 – 6.0.176.0.18
FortiProxy 7.47.4.0 – 7.4.27.4.3
FortiProxy 7.27.2.0 – 7.2.87.2.9
FortiProxy 7.07.0.0 – 7.0.147.0.15
FortiProxy 2.02.0.0 – 2.0.132.0.14
FortiProxy 1.2 · 1.1 · 1.0alle Versionenauf gepatchten Zweig migrieren

Praktisch angreifbar sind nur Geräte mit aktiviertem und erreichbarem SSL-VPN. FortiProxy 1.0 bis 1.2 erhalten keinen Fix im eigenen Zweig – hier ist eine Migration auf einen gepatchten Release nötig. Exakte Build-Ranges gegen das Advisory FG-IR-24-015 abgleichen.

Regulatorischer Hinweis: Ein bestätigter unbefugter Zugriff bzw. eine Codeausführung auf der Firewall kann eine meldepflichtige Verletzung darstellen – DSGVO unverzüglich (i. d. R. 72 h), NIS-2 nach den für Sie geltenden Fristen. Die Meldung bleibt bei Ihnen; wir unterstützen bei Bewertung und Dokumentation.

Chronologie

  • 08.02.2024 – Fortinet veröffentlicht Advisory FG-IR-24-015 (CVSS 9,6), Hinweis auf mögliche Ausnutzung
  • 09.02.2024 – CISA nimmt in KEV auf; Nutzung in Ransomware-Kampagnen bekannt
  • 16.02.2024 – CISA-Frist für US-Bundesbehörden (BOD 22-01)
  • Seither – Öffentliche PoCs; fortlaufende Ausnutzung exponierter SSL-VPN-Dienste

Maßnahmenplan

In dieser Reihenfolge – SSL-VPN abschalten oder abschotten vor Patch, Patch vor Entwarnung.

  • Sofort: SSL-VPN deaktivieren oder abschotten
  • Kurzfristig: Patch einspielen
  • Parallel: Threat Hunting / IoC-Abgleich
  1. Betroffenheit feststellen
    FortiOS-/FortiProxy-Version prüfen (FortiOS-Zweige 6.0 bis 7.4, FortiProxy 1.0 bis 7.4). Ist der SSL-VPN-Dienst aktiviert und aus dem Internet oder aus nicht vertrauenswürdigen Netzen erreichbar? Nur Geräte mit aktivem, erreichbarem SSL-VPN sind praktisch angreifbar.
  2. Sofort mitigieren (vor dem Patch)
    Herstellerbehelf: den SSL-VPN-Dienst deaktivieren. Wichtig – das bloße Abschalten von web-mode ist laut Fortinet kein gültiger Workaround. Wo SSL-VPN unverzichtbar ist, den Zugang auf vertrauenswürdige Quellen / dedizierte Interfaces einschränken:
    config vpn ssl settings set status disable end
  3. Patchen
    Auf die Fixversion des eigenen Zweigs aktualisieren (FortiOS 7.4.3 · 7.2.7 · 7.0.14 · 6.4.15 · 6.2.16 · 6.0.18 oder höher; FortiProxy 7.4.3 · 7.2.9 · 7.0.15 · 2.0.14). FortiProxy 1.0 bis 1.2 auf einen gepatchten Release migrieren.
  4. Kompromittierung ausschließen
    Angesichts der aktiven Ausnutzung das Gerät als potenziell kompromittiert behandeln: SSL-VPN-Logs, Administratorkonten, Konfigurations- und Skript-Änderungen sowie ausgehende Verbindungen prüfen und die IoCs unten abgleichen. Ein Patch schließt die Lücke – nicht einen bereits erfolgten Zugriff.
  5. Perimeter härten
    Grundsatz durchsetzen: Fernzugangs-Dienste nie ungeschützt exponieren, SSL-VPN nur wo nötig und mit MFA. Vorgelagerte IPS-Signaturen für diese Schwachstelle einspielen, sofern verfügbar.

Kompromittierungs-Indikatoren

  • Verdächtige Anfragen: präparierte HTTP-Anfragen an den SSL-VPN-Dienst (/remote/*) mit auffälligem chunked-Transfer-Encoding oder abgeschnittenen Anfragen
  • Prozess- / Absturz-Marker: Abstürze oder Neustarts des Prozesses sslvpnd · Crash-Logs am SSL-VPN-Daemon
  • Nachlagerung: neue oder unerwartete Administratorkonten, veränderte Konfiguration, unbekannte Skripte / ausgehende Verbindungen

Zur Einordnung: Fortinet und CISA nennen keine belastbare, geräteübergreifende Signaturliste. Die genannten Marker sind Anhaltspunkte aus öffentlicher Analyse und der beobachteten Ausnutzung – kein Ersatz für die forensische Prüfung Ihrer SSL-VPN-, System- und Crash-Logs. Erfahrene Angreifer entfernen Spuren.

Wichtig: Eine erfolgreiche Ausnutzung ermöglicht Codeausführung auf der Firewall selbst. Ein reiner Patch entfernt bereits untergeschobene Konten, Konfigurationsänderungen oder Persistenz nicht – ohne forensische Prüfung bleibt eine erfolgte Kompromittierung unsichtbar. Die Schwachstelle wird nachweislich auch in Ransomware-Kampagnen genutzt.

Empfehlung für die Geschäftsleitung

  • SSL-VPN heute deaktivieren oder strikt abschotten, Patch innerhalb der CISA-Frist (16.02.2024) bzw. unverzüglich einspielen.
  • Wegen aktiver Ausnutzung und Ransomware-Nutzung forensisch prüfen lassen, ob bereits ein Zugriff erfolgt ist – dokumentiert für eine etwaige Meldung.
  • Grundsatz durchsetzen: Fernzugangs-Dienste nie ungeschützt exponieren, SSL-VPN nur mit MFA.

Primärquellen

Fortinet PSIRT Advisory FG-IR-24-015 (CVE-2024-21762) · NVD (nvd.nist.gov, CVSS 3.1 Basiswert 9,8, CWE-787) · CISA Known Exploited Vulnerabilities Catalog (Aufnahme 09.02.2024, Frist 16.02.2024, Ransomware-Nutzung bekannt). Angaben nach bestem Wissen zum Stand 14.07.2026; Fixversionen und Build-Ranges gegen das Hersteller-Advisory abgleichen. Argos Security ist ISO/IEC 27001 (TÜV SÜD) zertifiziert.

So unterstützt Sie Argos Security

Für genau diese Schwachstelle ausgewählt – nicht für jede.

  • SOFORTMASSNAHME

    Kompromittierung prüfen →

    Zu dieser Schwachstelle sind Kompromittierungs-Indikatoren bekannt. Vor dem Patch gehört geprüft, ob sie bei Ihnen bereits gegriffen hat. Über den Notfallkontakt erreichen Sie uns rund um die Uhr; für Kunden mit IR-Vertrag mit Rückruf innerhalb von 30 Minuten.

  • LAUFENDE LEISTUNG

    Cyber Defense Center →

    Worauf wir im Cyber Defense Center bei dieser Schwachstelle achten: Anomalien am SSL-VPN-Dienst – Abstürze von sslvpnd, präparierte HTTP-Anfragen und neue Administratorkonten. Das setzt voraus, dass die dafür nötigen Logquellen angebunden sind. Auffälligkeiten eskalieren wir rund um die Uhr.

  • STRUKTURELL

    ZTNA – Zero Trust Network Access →

    Solange der Dienst aus dem Internet erreichbar ist, bleibt er Ziel. Mittelfristig kann ein ZTNA-Ansatz diese Exposition verringern. Kurzfristig zählt der Patch.

Unsere Leistungen ergänzen bestehende Hersteller- und Supportverträge, sie ersetzen sie nicht. Sie arbeiten bereits mit einem MDR-Anbieter? Dann holen Sie zu dieser Schwachstelle eine Zweitmeinung ein.