Sicherheitshinweis des BSI: Kritische Schwachstelle in Fortinet SSL-VPN

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat am 13.06.2023 einen Sicherheitshinweis zu einer kritischen Schwachstelle im SSL-VPN-Dienst von FortiOS und FortiProxy veröffentlicht. Laut Fortinet PSIRT handelt es sich dabei um eine Heap-Speicherüberlauf-Schwachstelle im SSL-VPN-Dienst. Unbefugten Angreifenden könnte es dadurch gelingen, Schadcode auf dem System oder Befehle über speziell geformte Anfragen auszuführen. Fortinet und das BSI stufen die Schwachstelle als kritisch ein. Sie ermöglicht entfernten Angreifern das Einschleusen von Code und das Umgehen der Authentifizierung, einschließlich der Multi-Faktor-Authentifizierung. Betroffen sind verschiedene Versionen von FortiOS und FortiProxy.

Fortinet meldet, dass die Schwachstelle bereits ausgenutzt wurde. Das Unternehmen hat Updates zur Verfügung gestellt, die die Sicherheitslücke schließen. Fortinet-Anwendern wird empfohlen, die Sicherheitshinweise des Unternehmens zu beachten und verfügbare Updates umgehend zu installieren. Eine Liste der betroffenen Versionen und weitere wichtige Informationen finden Sie im Sicherheitshinweis des BSI unter:

https://www.bsi.bund.de/SharedDocs/Cybersicherheitswarnungen/DE/2023/2023-240308-1032.pdf?__blob=publicationFile&v=3