Fortinet hat über die PSIRT-Veröffentlichung FG-IR-26-154 auf eine sicherheitsrelevante Schwachstelle hingewiesen: Beim FortiOS Buffer-Over-Read (CWE-126) kann es durch eine speziell präparierte Anfrage zu einem Buffer-Over-Read kommen. Das Besondere: Ein Angreifer mit gültiger Authentifizierung könnte dabei Teile des Gerätespeichers über eine Redirect-Antwort zurückerhalten.
Für Administratoren bedeutet das vor allem eines: Systeme sollten möglichst zeitnah gemäß dem empfohlenen Upgrade-Pfad aktualisiert werden. Zusätzlich kann eine virtuelle Sicherheitsmaßnahme als Übergang verfügbar sein.
Was ist die Schwachstelle und warum ist sie relevant?
Die Schwachstelle wird als Buffer over-read klassifiziert, konkret unter CWE-126. Das heißt: Beim Verarbeiten einer Anfrage liest die betroffene Komponente potenziell mehr Daten aus als vorgesehen. Dadurch kann eine unerwünschte Datenmenge sichtbar werden.
In der Meldung wird beschrieben, dass das Szenario eine authenticated remote attack ermöglichen kann. Ein Angreifer, der bereits authentifiziert ist, kann durch eine gezielt gestaltete Anfrage eine Antwort auslösen, in der eine portion of device memory als Teil des Redirect-Responses zurückgegeben werden könnte.
Wichtig ist damit die Kombination aus zwei Faktoren: Remote-Ausnutzung und Redirect-Antwort. So wird klar, warum die Aktualisierung der betroffenen Produkte so dringlich ist.
Welche Produkte sind betroffen?
Laut PSIRT-Info betrifft die Schwachstelle mehrere Fortinet-Komponenten:
- FortiOS
- FortiProxy
- FortiSASE
Das bedeutet, dass nicht nur klassische Geräte mit FortiOS im Fokus stehen, sondern auch Proxy- und SASE-Umgebungen. Falls Sie mehrere dieser Lösungen betreiben, sollten Sie die Sicherheitslage gemeinsam betrachten.
Wie könnte ein Angriff ablaufen?
Die Veröffentlichung beschreibt das grundlegende Muster: Ein Angreifer übermittelt eine speziell präparierte Anfrage an die betroffene Komponente. Dadurch kann im Rahmen der Verarbeitung eine Redirect-Antwort so entstehen, dass darin unerwartete Inhalte aus dem Gerätespeicher enthalten sind.
Weil die Antwort auf eine Umleitung verweist (Redirect), kann sich die Datenoffenlegung möglicherweise in einem Response-Flow zeigen, der für Nutzer oder Clients nicht sofort als „Datenleck“ erkennbar ist. Genau deshalb sollten Teams die Updates nicht nur als „Patch-Prozess“, sondern als Reduktion eines konkreten Risikos einplanen.
Empfohlener Weg: Upgrade gemäß Fortinet
Fortinet rät, den empfohlenen Upgrade-Pfad zu befolgen. Als Unterstützung wird ein Upgrade-Tool bereitgestellt: https://docs.fortinet.com/upgrade-tool.
Nutzen Sie dieses Tool, um die für Ihre Umgebung passenden Upgrade-Schritte zu ermitteln. Achten Sie dabei besonders auf Abhängigkeiten, Wartungsfenster und die Reihenfolge der Aktualisierung, falls mehrere Systeme oder Rollen beteiligt sind.
Virtuelles Fix-Paket verfügbar
Zusätzlich ist in der Meldung ein virtueller Patch angekündigt: „FG-VD-58646.0day.“ ist als Virtual Patch in der FMWP db update 26.010 verfügbar.
Ein virtueller Patch kann als Übergang hilfreich sein, wenn ein Upgrade kurzfristig nicht sofort durchführbar ist. Er sollte jedoch nicht als dauerhafte Alternative zu einem regulären Upgrade betrachtet werden, sondern als Maßnahme zur Risikoreduktion bis zur Umsetzung des empfohlenen Pfads.
Responsible Disclosure: Anerkennung der Meldenden
Fortinet bedankt sich in der PSIRT-Veröffentlichung bei den Meldenden Vang3lis und Cyth von VARAS@IIE für die Meldung im Rahmen des verantwortungsvollen Offenlegungsprozesses.
Für Organisationen ist das ebenfalls ein Hinweis: Solche Prozesse verbessern die Qualität der Informationen und helfen, Schwachstellen schneller und zielgerichteter zu beheben.
Zeitleiste der Veröffentlichung
Die PSIRT-Veröffentlichung wurde am 2026-07-14 erstmals veröffentlicht. Damit ist klar, dass Sie diese Information in Ihre aktuelle Schwachstellen- und Patch-Planung aufnehmen sollten.
Praktische Schritte für Administratoren
Damit der FortiOS Buffer-Over-Read nicht zum Sicherheitsproblem in Ihrem Betrieb wird, können Sie folgende Schritte umsetzen:
- Betroffenheit prüfen: Identifizieren Sie, ob in Ihrer Umgebung FortiOS, FortiProxy oder FortiSASE eingesetzt wird und welche Versionen laufen.
- Upgrade planen: Verwenden Sie den von Fortinet empfohlenen Upgrade-Pfad und das Upgrade-Tool, um passende Zielstände zu bestimmen.
- Zwischenlösung bewerten: Prüfen Sie, ob der verfügbare virtuelle Patch „FG-VD-58646.0day“ in Ihrer Situation als Übergangsmaßnahme sinnvoll ist.
- Änderungen dokumentieren: Halten Sie Patch- und Testschritte fest, damit Security- und Betriebsteam nachvollziehen können, wann das Risiko reduziert wurde.
- Monitoring aktivieren: Überwachen Sie nach Updates die relevanten Komponenten und Logs, um unerwünschte Muster früh zu erkennen.
Gerade weil es um eine Datenoffenlegung aus dem Gerätespeicher geht, ist das Ziel nicht nur „Patchen“, sondern auch sicherzustellen, dass die betroffene Verarbeitung tatsächlich geschützt ist.
Fazit
Die PSIRT-Meldung FG-IR-26-154 beschreibt eine Sicherheitslücke, die als Buffer-Over-Read (CWE-126) in FortiOS sowie in FortiProxy und FortiSASE klassifiziert wird. Ein authenticated remote attacker könnte dabei Teile des Gerätespeichers über eine Redirect-Antwort zurückerhalten.
Handeln Sie zeitnah: Folgen Sie dem empfohlenen Upgrade-Pfad über das Fortinet Upgrade-Tool und prüfen Sie ergänzend die Verfügbarkeit eines virtuellen Patches. So reduzieren Sie das Risiko zuverlässig und bringen Ihre Umgebung wieder in einen sicheren Betriebszustand.
