Neben den "üblichen Verdächtigen" Microsoft und Adobe hat auch Fortinet pünktlich zum Patchday eine ganze Reihe von Sicherheitshinweisen und Updates für verschiedene Produkte veröffentlicht.
Die aktuellen Sicherheitshinweise erwähnen zahlreiche geschlossene Lücken. Mit dem Schweregrad "High" bewertet wurden Schwachstellen in FortiOS, FortiPAM, FortiSwitch Manager, FortiDLP, Fortilsolator sowie im FortiClient Mac.
Hinzu kommen "Medium"- und "Low"-Lücken unter anderem in FortiAnalyzer, FortiProxy, FortiManager Cloud, FortiMail und FortiSRA.
Angesichts der Tatsache, dass IT-Sicherheitslösungen des Herstellers in der jüngeren Vergangenheit schon häufiger zum Ziel von kursierendem Exploit-Codes wurden, sollten Admins möglichst zügig handeln. Bis dato sind allerdings noch keine auf die aktuellen Lücken abzielenden Exploits bekannt.
Zur unbefugten Ausführung von Systembefehlen per Kommandozeile könnten lokale, authentifizierte Angreifer die Schwachstelle CVE-2025-58325 ("Restricted CLI command bypass"; CVSS-Score 7.8) missbrauchen. Sie betrifft FortiOS in der gesamten 6.4-er Versionsreihe, die Versionen 7.0.0 bis 7.0.15, 7.2.0 bis 7.2.10 und 7.4.0 bis 7.4.5 (jeweils inklusive der letztgenannten) sowie die Version 7.6.0. Ein Upgrade auf die jeweils nächsthöhere Version beziehungsweise ein Umstieg von 6.4 auf ein aktuelles, gefixtes Release schaffen Abhilfe.
Schwache Authentifizierungsmechanismen sind die Wurzel von CVE-2025-49201 (CVSS 7.4), einer Lücke, die laut Fortinet Brute-Force-Angriffe erleichtert. Der National Vulnerability Database (NVD) ist überdies zu entnehmen, dass mittels spezieller HTTP-Requests auch in diesem Falle die Möglichkeit besteht, schädlichen Code oder Befehle auszuführen. Verwundbar sind mehrere FortiPAM-Versionsreihen (außer 1.6 und 1.7) sowie FortiSwitch Manager 7.2.0 bis inklusive 7.2.4.
Ausführliche Informationen zu allen verwundbaren und abgesicherten Versionen sind folgenden Advisories zu entnehmen:
Auch zu den übrigen Sicherheitslücken mit "High"-Einstufung gibt es – nicht minder wichtige – Updates, deren detaillierte Aufschlüsselung hier jedoch den Rahmen sprengen würde. Folgende Advisories geben Auskunft zu verwundbaren und abgesicherten Versionen:
Eine Übersicht auch über die Schwachstellen mit niedrigerer Risikobewertung bietet Fortinets Übersichtsseite nebst detaillierter Filteroptionen etwa nach Datum, Produkt und Schweregrad.
// Update 15.10., 18:36: Ergänzung der Meldung um weitere Sicherheitslücken mit "High"-Einstufung + kurze Auflistung (vorletzter Absatz). Danke für die Hinweise!
Sie haben heise+ bereits abonniert? Hier anmelden.
Oder benötigen Sie mehr Informationen zum heise+ Abo