Fortinet FortiOS – Umgehung des Symbolischen-Link-Patches

Zusammenfassung

Eine Schwachstelle der Kategorie CWE-200 (Exposure of Sensitive Information) wurde in mehreren Versionen von Fortinet FortiOS entdeckt. Ein entfernter, nicht authentifizierter Angreifer kann über gefälschte HTTP-Anfragen die im Rahmen früherer Exploits implementierte Persistenz-Mechanismus für symbolische Links umgehen. Die Schwachstelle betrifft FortiOS-Versionen von 6.4.0 bis 7.6.1.

Technische Details

Die Schwachstelle betrifft die Persistenz-Mechanismus für symbolische Links (Symbolic Link Persistency), die als Teil eines früheren Patches gegen bekannte post-Exploit-Szenarien implementiert wurde. Ein Angreifer, der über eine andere Schwachstelle bereits Zugang auf Dateisystem-Ebene erlangt hat, kann diesen Mechanismus über speziell gearbeitete HTTP-Anfragen umgehen.

Die Schwachstelle ist unter dem FortiGuard-PSIRT FG-IR-25-934 dokumentiert und wurde der CVE-ID CVE-2025-68686 zugewiesen. Der CVSS-Score liegt bei 5.3 (Medium).

Betroffene Systeme

Produkt	Betroffene Versionen
Fortinet FortiOS	7.6.0 bis 7.6.1
Fortinet FortiOS	7.4.0 bis 7.4.6
Fortinet FortiOS	7.2.0 (alle Versionen)
Fortinet FortiOS	7.0.0 bis 7.0.19
Fortinet FortiOS	6.4.0 bis 6.4.16

Empfehlungen und Maßnahmen

1. Patch aktualisieren: Aktualisieren Sie Ihr FortiOS auf die neueste verfügbare Version gemäß den Fortinet-Empfehlungen (FG-IR-25-934).
2. Zugriff einschränken: Stellen Sie sicher, dass die Verwaltungsoberfläche nicht öffentlich erreichbar ist.
3. Protokollierung überwachen: Überwachen Sie HTTP-Protokolle auf ungewöhnliche Anfragen.
4. Post-Exploit-Check: Führen Sie eine vollständige Sicherheitsüberprüfung durch, falls Ihr System kompromittiert wurde.
5. WAF-Richtlinien: Aktualisieren Sie Ihre Web Application Firewall Regeln zur Erkennung entsprechender Anfragen.

Quellen

• Fortinet FortiGuard PSIRT FG-IR-25-934