Ein nicht authentifizierter Angreifer aus dem Netz kann über gefälschte CSF-Proxy-Anfragen Super-Admin-Rechte auf einer FortiGate/FortiProxy erlangen – wenn die Security Fabric aktiv ist. Die Schwachstelle ist eine zweite Angriffsvariante zur bereits ausgenutzten CVE-2024-55591 und wird u. a. für die SuperBlack-Ransomware aktiv missbraucht.
Advisory als PDF herunterladenVerwundbare FortiOS-/FortiProxy-Versionen prüfen bei aktivierter Security Fabric (CSF) nicht ausreichend, ob eine über den Cluster-Synchronisations-Framework weitergeleitete Proxy-Anfrage legitim ist. Kennt der Angreifer die Seriennummer eines Up- oder Downstream-Geräts, kann er über speziell präparierte CSF-Proxy-Anfragen die Authentifizierung umgehen und sich Super-Admin-Rechte verschaffen – ein alternativer Pfad zur selben Wirkung wie die zuvor gemeldete Node.js-WebSocket-Variante (CVE-2024-55591).
| Produkt / Zweig | Verwundbar | Fixversion |
|---|---|---|
| FortiOS 7.0 | 7.0.0 – 7.0.16 | 7.0.17 |
| FortiOS 7.2 / 7.4 / 7.6 | nicht betroffen | — |
| FortiOS 6.4 | nicht betroffen | — |
| FortiProxy 7.0 | 7.0.0 – 7.0.19 | 7.0.20 |
| FortiProxy 7.2 | 7.2.0 – 7.2.12 | 7.2.13 |
Angreifbar nur bei aktivierter Security Fabric (CSF) und aus dem Netz erreichbarer Management-Oberfläche. Exakte Build-Ranges gegen das Hersteller-Advisory FG-IR-24-535 des eigenen Zweigs abgleichen; die Fixe decken zugleich CVE-2024-55591 ab.
Regulatorischer Hinweis: Ein bestätigter unbefugter Admin-Zugriff auf die Perimeter-Firewall kann eine meldepflichtige Verletzung darstellen – DSGVO unverzüglich (i. d. R. 72 h), NIS-2 nach den für Sie geltenden Fristen. Die Meldung bleibt bei Ihnen; wir unterstützen bei Bewertung und Dokumentation.
In dieser Reihenfolge – Mitigation vor Patch, Patch vor Entwarnung.
config system csf
set status disable
endFortiOS 7.0.17 · FortiProxy 7.0.20 · FortiProxy 7.2.13). Dieselben Builds schließen auch die verwandte CVE-2024-55591.srcip 1.1.1.1srcip 127.0.0.11.1.1.1 · 127.0.0.1 · 2.2.2.2
8.8.8.8 · 8.8.4.4 · 13.37.13.37Zur Einordnung: Die genannten Quell-IPs sind vom Angreifer frei gesetzte Log-Werte (Spoofing), keine echten Herkunftsadressen – auffällig ist gerade ihr Auftauchen in erfolgreichen Admin-Anmeldungen. IoCs sind eine Momentaufnahme der beobachteten Kampagnen und flüchtig; kein Ersatz für die Analyse Ihrer Authentifizierungs-Logs.
Wichtig: Erfolgreiche Angriffe erscheinen als reguläre, erfolgreiche Admin-Anmeldungen und Konten-Anlagen – mit gefälschten Quell-IPs, aber ohne Alarm. Ohne kontinuierliche Auswertung der Admin-Logs bleibt ein bereits erfolgter Zugriff unsichtbar.
Fortinet PSIRT Advisory FG-IR-24-535 · NIST NVD CVE-2025-24472 (CVSS 3.1 8,1) · CISA Known Exploited Vulnerabilities Catalog (hinzugefügt 18.03.2025) · Forescout Vedere Labs (SuperBlack / Mora_001). Angaben nach bestem Wissen zum Stand 14.07.2026; Fixversionen und Build-Ranges gegen das Hersteller-Advisory abgleichen. Argos Security ist ISO/IEC 27001 (TÜV SÜD) zertifiziert.
Für genau diese Schwachstelle ausgewählt – nicht für jede.
SOFORTMASSNAHME
Zu dieser Schwachstelle sind Kompromittierungs-Indikatoren bekannt. Vor dem Patch gehört geprüft, ob sie bei Ihnen bereits gegriffen hat. Über den Notfallkontakt erreichen Sie uns rund um die Uhr; für Kunden mit IR-Vertrag mit Rückruf innerhalb von 30 Minuten.
LAUFENDE LEISTUNG
Worauf wir im Cyber Defense Center bei dieser Schwachstelle achten: Admin-Anmeldungen mit gefälschten Quell-IPs und die Anlage unerwarteter Super-Admin-Konten. Das setzt voraus, dass die dafür nötigen Logquellen angebunden sind. Auffälligkeiten eskalieren wir rund um die Uhr.
PROJEKT
Management-Oberflächen sind wiederkehrend betroffen. Ein Test zeigt, welche davon bei Ihnen erreichbar sind, bevor es jemand anderes herausfindet.
Unsere Leistungen ergänzen bestehende Hersteller- und Supportverträge, sie ersetzen sie nicht. Sie arbeiten bereits mit einem MDR-Anbieter? Dann holen Sie zu dieser Schwachstelle eine Zweitmeinung ein.