Neben den "üblichen Verdächtigen" Microsoft und Adobe hat auch Fortinet pünktlich zum Patchday eine ganze Reihe von Updates für verschiedene Produkte veröffentlicht.
Die aktuellen Sicherheitshinweise erwähnen insgesamt 18 geschlossene Lücken. Zwei davon wurden mit dem Schweregrad "High" bewertet; sie betreffen FortiOS, FortiPAM sowie den FortiSwitch Manager. Hinzu kommen "Medium"- und "Low"-Lücken unter anderem in FortiAnalyzer, FortiProxy, FortiManager Cloud, FortiMail und FortiSRA.
Angesichts der Tatsache, dass IT-Sicherheitslösungen des Herstellers in der jüngeren Vergangenheit schon häufiger zum Ziel von kursierendem Exploit-Codes wurden, sollten Admins möglichst zügig handeln. Bis dato sind allerdings noch keine auf die aktuellen Lücken abzielenden Exploits bekannt.
Zur unbefugten Ausführung von Systembefehlen per Kommandozeile könnten lokale, authentifizierte Angreifer die Schwachstelle CVE-2025-58325 ("Restricted CLI command bypass"; CVSS-Score 7.8) missbrauchen. Sie betrifft FortiOS in der gesamten 6.4-er Versionsreihe, die Versionen 7.0.0 bis 7.0.15, 7.2.0 bis 7.2.10 und 7.4.0 bis 7.4.5 (jeweils inklusive der letztgenannten) sowie die Version 7.6.0. Ein Upgrade auf die jeweils nächsthöhere Version beziehungsweise ein Umstieg von 6.4 auf ein aktuelles, gefixtes Release schaffen Abhilfe.
Schwache Authentifizierungsmechanismen sind die Wurzel von CVE-2025-49201 (CVSS 7.4), einer Lücke, die laut Fortinet Brute-Force-Angriffe erleichtert. Der National Vulnerability Database (NVD) ist überdies zu entnehmen, dass mittels spezieller HTTP-Requests auch in diesem Falle die Möglichkeit besteht, schädlichen Code oder Befehle auszuführen. Verwundbar sind mehrere FortiPAM-Versionsreihen (außer 1.6 und 1.7) sowie FortiSwitch Manager 7.2.0 bis inklusive 7.2.4.
Ausführliche Informationen zu allen verwundbaren und abgesicherten Versionen sind folgenden Advisories zu entnehmen:
Eine Übersicht auch über die Schwachstellen mit niedrigerer Risikobewertung bietet Fortinets Übersichtsseite nebst detaillierter Filteroptionen etwa nach Datum, Produkt und Schweregrad.
(
Sie haben heise+ bereits abonniert? Hier anmelden.
Oder benötigen Sie mehr Informationen zum heise+ Abo
Kommentare