Ein nicht authentifizierter Angreifer aus dem Netz kann über den FGFM-Dienst (fgfmd-Daemon) speziell gestaltete Anfragen senden und darüber beliebigen Code oder Befehle ausführen – ohne gültige Anmeldedaten. Ursache ist eine Format-String-Schwachstelle (CWE-134). Praktisch angreifbar ist jedes Gerät mit erreichbarem FGFM-Interface; die Ausnutzung läuft laut CISA/Fortinet seit Oktober 2024.
Advisory als PDF herunterladenDer fgfmd-Daemon wickelt das FGFM-Protokoll für die Kommunikation zwischen FortiGate/FortiOS und FortiManager ab. Beim Verarbeiten eingehender FGFM-Anfragen fließt ein extern beeinflusster Wert ungeprüft als Format-String in eine Verarbeitungsfunktion (CWE-134). Ein entfernter, nicht authentifizierter Angreifer kann darüber mit speziell gestalteten Paketen den Speicher manipulieren und bis zur Ausführung beliebiger Befehle eskalieren.
allowaccess-Freigabe aus dem Netz erreichbar| Produkt · Zweig | Verwundbar | Fixversion |
|---|---|---|
| FortiOS 7.4 | 7.4.0 – 7.4.2 | 7.4.3 |
| FortiOS 7.2 | 7.2.0 – 7.2.6 | 7.2.7 |
| FortiOS 7.0 | 7.0.0 – 7.0.13 | 7.0.14 |
| FortiProxy 7.4 / 7.2 / 7.0 | 7.4.0–7.4.2 · 7.2.0–7.2.8 · 7.0.0–7.0.15 | 7.4.3 · 7.2.9 · 7.0.16 |
| FortiPAM 1.0 – 1.2 | alle Versionen (1.0 / 1.1 / 1.2) | auf gepatchten Release migrieren |
| FortiSwitchManager 7.2 / 7.0 | 7.2.0–7.2.3 · 7.0.0–7.0.3 | 7.2.4 · 7.0.4 |
Praktisch angreifbar sind Geräte mit erreichbarem FGFM-Interface. Der CISA-KEV-Eintrag nennt als betroffen zusätzlich FortiWeb; die exakten Versionsbereiche dafür im Hersteller-Advisory prüfen. Alle Build-Ranges und Fixversionen gegen das Advisory FG-IR-24-029 des eigenen Zweigs abgleichen.
Regulatorischer Hinweis: Eine bestätigte Codeausführung bzw. ein unbefugter Zugriff auf Firewall/Gateway kann eine meldepflichtige Verletzung darstellen – DSGVO unverzüglich (i. d. R. 72 h), NIS-2 nach den für Sie geltenden Fristen. Die Meldung bleibt bei Ihnen; wir unterstützen bei Bewertung und Dokumentation.
In dieser Reihenfolge – FGFM abschotten vor Patch, Patch vor Entwarnung.
allowaccess-Freigabe aus dem Internet oder aus nicht vertrauenswürdigen Netzen erreichbar? Nur exponierte FGFM-Interfaces sind praktisch angreifbar.fgfm aus allowaccess der exponierten Interfaces entfernen (Hinweis: dies unterbindet die FortiManager-Erkennung). Alternativ per Local-in-Policy auf vertrauenswürdige Hosts beschränken:config system interface
edit <port>
set allowaccess ping https ssh
next
end7.4.3 · 7.2.7 · 7.0.14, FortiProxy 7.4.3 · 7.2.9 · 7.0.16, FortiSwitchManager 7.2.4 · 7.0.4). Für FortiPAM 1.0–1.2 auf einen gepatchten Release migrieren. Fortinet hat für die betroffenen Zweige feste Builds veröffentlicht.fgfmd-Prozesses prüfen und die Konfiguration auf unautorisierte Änderungen kontrollieren. Ein Patch schließt die Lücke – nicht einen bereits erfolgten Zugriff.TCP 541 · Interfaces mit fgfm in allowaccessfgfmd-Prozesses in den LogsZur Einordnung: Für diese Schwachstelle liegen keine belastbaren, herstellerbestätigten netzwerkbasierten IoCs vor; die genannten Marker sind allgemeine Prüfhinweise und kein Ersatz für die Analyse Ihrer Zugriffs-, System- und Krash-Logs. Ein reiner Format-String-Angriff kann sehr wenige Spuren hinterlassen.
Wichtig: Eine erfolgreiche Ausnutzung ermöglicht Codeausführung ohne Anmeldung. Ein reiner Patch entfernt bereits etablierte Persistenz, geänderte Konfiguration oder Konten nicht – ohne Prüfung des Systems bleibt eine erfolgte Kompromittierung unsichtbar.
Fortinet PSIRT Advisory FG-IR-24-029 (CVE-2024-23113) · NVD (nvd.nist.gov, CVSS 3.1 Basiswert 9,8, CWE-134) · CISA Known Exploited Vulnerabilities Catalog (Aufnahme 09.10.2024, Frist 30.10.2024, Ransomware-Nutzung: unbekannt). Angaben nach bestem Wissen zum Stand 14.07.2026; Fixversionen und Build-Ranges gegen das Hersteller-Advisory des jeweiligen Zweigs abgleichen. Argos Security ist ISO/IEC 27001 (TÜV SÜD) zertifiziert.
Für genau diese Schwachstelle ausgewählt – nicht für jede.
SOFORTMASSNAHME
Zu dieser Schwachstelle sind Kompromittierungs-Indikatoren bekannt. Vor dem Patch gehört geprüft, ob sie bei Ihnen bereits gegriffen hat. Über den Notfallkontakt erreichen Sie uns rund um die Uhr; für Kunden mit IR-Vertrag mit Rückruf innerhalb von 30 Minuten.
LAUFENDE LEISTUNG
Worauf wir im Cyber Defense Center bei dieser Schwachstelle achten: FGFM-Verbindungen aus fremden Quellen und Abstürze des fgfmd-Prozesses. Das setzt voraus, dass die dafür nötigen Logquellen angebunden sind. Auffälligkeiten eskalieren wir rund um die Uhr.
LAUFENDE LEISTUNG
Wenn eine Ausnutzung erst nach dem Einstieg sichtbar wird, entscheidet die Korrelation über Endpunkt, Netzwerk und Identität.
Unsere Leistungen ergänzen bestehende Hersteller- und Supportverträge, sie ersetzen sie nicht. Sie arbeiten bereits mit einem MDR-Anbieter? Dann holen Sie zu dieser Schwachstelle eine Zweitmeinung ein.