SECURITY ADVISORY

Fehlende Authentifizierung in Fortinet FortiManager („FortiJump")

Der fgfmd-Dienst des FortiManager prüft eingehende Verbindungen nicht ausreichend auf Authentifizierung. Ein nicht authentifizierter Angreifer aus dem Netz kann sich über den FGFM-Port (TCP 541) mit einem gefälschten Gerät verbinden und beliebige Befehle bzw. Code auf der zentralen Management-Plattform ausführen – als Zero-Day seit Juni 2024 aktiv ausgenutzt.

CVE-ID

CVE-2024-47575

CVSS

9,8

Schweregrad

Kritisch

Hersteller

Fortinet

Produkt

FortiManager & FortiManager Cloud

Veröffentlicht

14.07.2026

CISA-KEV

Gelistet

Advisory als PDF herunterladen

Analyse

Warum die Lücke wirkt

Der FortiManager-Dienst fgfmd nimmt FGFM-Verbindungen entgegen, ohne die Gegenstelle sicher zu authentifizieren (CWE-306, fehlende Authentifizierung für eine kritische Funktion). Ein Angreifer kann ein beliebiges FortiGate/FortiManager mit einer gefälschten oder von kompromittierten Geräten entwendeten Seriennummer selbst registrieren und anschließend über speziell gestaltete Anfragen Befehle oder Code auf dem FortiManager ausführen.

Angriffskette

  1. Port exponiert – der FGFM-Dienst (TCP 541) ist aus dem Netz erreichbar
  2. Gerät fälschen – Selbst-Registrierung mit gefälschter oder entwendeter Seriennummer
  3. Befehle ausführen – über fgfmd ohne Authentifizierung Code/Befehle ausführen
  4. Exfiltration – IPs, Zugangsdaten und Konfigurationen der verwalteten Geräte abziehen

Betroffene Versionen und Fixes

FortiManager-ZweigVerwundbarFixversion
7.67.6.07.6.1
7.47.4.0 – 7.4.47.4.5
7.27.2.0 – 7.2.77.2.8
7.07.0.0 – 7.0.127.0.13
6.46.4.0 – 6.4.146.4.15
6.26.2.0 – 6.2.126.2.13
FortiManager Cloud6.4 · 7.0.1–7.0.12 · 7.2.1–7.2.7 · 7.4.1–7.4.4Fix-Release je Zweig; 6.4 auf gefixte Version migrieren

Betroffen sind FortiManager und FortiManager Cloud über alle 6.2–7.6-Zweige. Ältere FortiAnalyzer-Modelle im FortiManager-Feature-Modus (7.2.0–7.2.7 / 7.0.1–7.0.12 mit fmg-status enable) sind unter bestimmten Bedingungen ebenfalls betroffen. Exakte Build-Ranges gegen das Hersteller-Advisory FG-IR-24-423 des eigenen Zweigs abgleichen.

Regulatorischer Hinweis: Ein bestätigter unbefugter Zugriff auf die zentrale Firewall-Verwaltung kann eine meldepflichtige Verletzung darstellen – DSGVO unverzüglich (i. d. R. 72 h), NIS-2 nach den für Sie geltenden Fristen. Die Meldung bleibt bei Ihnen; wir unterstützen bei Bewertung und Dokumentation.

Chronologie

  • 27.06.2024 – Erste beobachtete Ausnutzung (Mandiant)
  • 23.10.2024 – Fortinet-Advisory FG-IR-24-423 · CISA KEV · Zero-Day bestätigt
  • 13.11.2024 – CISA-Frist für US-Bundesbehörden (BOD 22-01)
  • Seither – In Wellen ausgenutzt – UNC5820, > 50 kompromittierte Geräte

Maßnahmenplan

In dieser Reihenfolge – Mitigation vor Patch, Patch vor Entwarnung.

  • Sofort: Zugriff einschränken / mitigieren
  • Kurzfristig: Patch einspielen
  • Parallel: Threat Hunting / IoC-Abgleich
  1. Betroffenheit feststellen
    FortiManager-Version und -Zweig gegen die Tabelle prüfen. Ist der FGFM-Dienst (TCP 541) aus nicht vertrauenswürdigen Netzen erreichbar? Zentrale Management-Instanzen mit Internet-Exposition sind besonders gefährdet.
  2. Sofort mitigieren (vor dem Patch)
    Je nach Version einen der von Fortinet benannten Behelfe aktivieren: unbekannte Geräte ablehnen (ab 7.0.12 / 7.2.5 / 7.4.3), Local-in-Policy zur Freigabe nur bekannter FortiGate-IPs auf Port 541, oder exklusive CA-Zertifikate erzwingen (ab 7.2.2 / 7.4.0 / 7.6.0).
    config system global set fgfm-deny-unknown enable end
  3. Patchen
    Auf die Fixversion des eigenen Zweigs aktualisieren (7.6.1 · 7.4.5 · 7.2.8 · 7.0.13 · 6.4.15 · 6.2.13). FortiManager-Cloud-Umgebungen mit Fortinet abstimmen bzw. 6.4 auf eine gefixte Version migrieren.
  4. Kompromittierung ausschließen
    Geräte-Logs auf unregistrierte Geräte-Hinzufügungen und Änderungen mit veränderten Seriennummern durchsuchen, die IoCs unten abgleichen und die verwalteten FortiGate-Zugangsdaten als potenziell offengelegt behandeln. Ein Patch schließt die Lücke – nicht einen bereits erfolgten Zugriff.
  5. Nach Kompromittierung: Zugangsdaten rotieren
    Bei Verdacht auf Ausnutzung alle auf dem FortiManager gespeicherten Zugangsdaten und die der verwalteten Geräte rotieren, Konfigurationen auf unautorisierte Änderungen prüfen und die herstellerseitige Recovery-Anleitung von Fortinet befolgen.

Kompromittierungs-Indikatoren

  • Angreifer-Quell-IPs: 45.32.41.202 · 104.238.141.143
    158.247.199.37 · 45.32.63.2 · 80.66.196.199
    198.199.122.22 · 142.93.177.233
    195.85.114.78 · 172.232.167.68
  • Verdächtige Seriennummern: FMG-VMTM23017412
    FMG-VMTM19008093
    FGVMEVWG8YMT3R63
  • Dateien & Log-Marker: /tmp/.tm · /var/tmp/.tm
    Log-Einträge: unregistrierte Geräte-Adds und Geräte-Änderungen mit veränderter Seriennummer

Zur Einordnung: IPs und Seriennummern sind eine Momentaufnahme der beobachteten Kampagne und flüchtig – kein Ersatz für die Analyse Ihrer FortiManager-Logs. Auffällig sind vor allem unregistrierte Geräte-Hinzufügungen und Seriennummern-Manipulationen im dvm-Log.

Wichtig: Erfolgreiche Ausnutzung erscheint als reguläre Geräte-Registrierung im Management-Log – ohne Alarm. Ohne kontinuierliche Auswertung der FortiManager-Logs bleibt ein bereits erfolgter Zugriff auf die zentrale Firewall-Verwaltung unsichtbar.

Empfehlung für die Geschäftsleitung

  • Zugriff auf den FGFM-Port heute einschränken, Patch innerhalb von 72 Stunden einplanen.
  • Prüfen lassen, ob bereits ein Zugriff erfolgt ist – dokumentiert für eine etwaige Meldung; bei Verdacht Zugangsdaten der verwalteten Geräte rotieren.
  • Über eine dauerhafte Überwachung von Management-Plattformen und Perimeter entscheiden.

Primärquellen

Fortinet PSIRT Advisory FG-IR-24-423 (CVE-2024-47575) · NIST NVD CVE-2024-47575 · CISA Known Exploited Vulnerabilities Catalog (aufgenommen 23.10.2024) · Mandiant / Google Threat Intelligence „Investigating FortiManager Zero-Day Exploitation (CVE-2024-47575)". Angaben nach bestem Wissen zum Stand 14.07.2026; Fixversionen und Build-Ranges gegen das Hersteller-Advisory des jeweiligen Zweigs abgleichen. Argos Security ist ISO/IEC 27001 (TÜV SÜD) zertifiziert.

So unterstützt Sie Argos Security

Für genau diese Schwachstelle ausgewählt – nicht für jede.

  • SOFORTMASSNAHME

    Kompromittierung prüfen →

    Zu dieser Schwachstelle sind Kompromittierungs-Indikatoren bekannt. Vor dem Patch gehört geprüft, ob sie bei Ihnen bereits gegriffen hat. Über den Notfallkontakt erreichen Sie uns rund um die Uhr; für Kunden mit IR-Vertrag mit Rückruf innerhalb von 30 Minuten.

  • LAUFENDE LEISTUNG

    Cyber Defense Center →

    Worauf wir im Cyber Defense Center bei dieser Schwachstelle achten: Unregistrierte Geräte-Hinzufügungen und Seriennummern-Manipulationen im FortiManager-Log. Das setzt voraus, dass die dafür nötigen Logquellen angebunden sind. Auffälligkeiten eskalieren wir rund um die Uhr.

  • LAUFENDE LEISTUNG

    Managed XDR – Extended Detection and Response →

    Wenn eine Ausnutzung erst nach dem Einstieg sichtbar wird, entscheidet die Korrelation über Endpunkt, Netzwerk und Identität.

Unsere Leistungen ergänzen bestehende Hersteller- und Supportverträge, sie ersetzen sie nicht. Sie arbeiten bereits mit einem MDR-Anbieter? Dann holen Sie zu dieser Schwachstelle eine Zweitmeinung ein.