Hackers' Pub

Syntax	Description	Examples
`"` keyword `"`	Finds the string within quotes, including spaces. Case-insensitive. (Escape quotes inside with `\"`)	`"Hackers' Pub"`
`from:` handle	Finds content written by the specified user.	`from:hongminhee` `from:hongminhee@hollo.social`
`lang:` ISO 639-1	Finds content written in the specified language.	`lang:en`
`#` tag	Finds content with the specified tag. Case-insensitive.	`#HackersPub`
condition condition	Finds content that satisfies both conditions on either side of the space (logical AND).	`"Hackers' Pub" lang:en`
condition `OR` condition	Finds content that satisfies at least one of the conditions on either side of the OR operator (logical OR).	`#HackersPub OR "Hackers' Pub" lang:en`
`(` condition `)`	Combines the operators within the parentheses first.	`(#HackersPub OR "Hackers' Pub" OR "Hackers Pub") lang:en`

CERT-Bund @certbund@social.bund.de

4/11/2025, 11:19:54 AM

Public

Fortinet berichtet über beobachtete Angriffe auf FortiGate-Firewalls. Mit bekannten Sicherheitslücken wurde ein persistenter Lesezugriff eingerichtet – auch wenn zwischenzeitlich Aktualisierungen erfolgten. Nun informiert der Hersteller betroffene Kunden.
Gleichzeitig wird Nachholbedarf beim Patchmanagement deutlich. Allein in Deutschland sind ein Jahr nach Veröffentlichung der Patches für eine der ausgenutzten Schwachstellen noch immer knapp 700 Firewalls angreifbar:
https://www.bsi.bund.de/SharedDocs/Cybersicherheitswarnungen/DE/2025/2025-238765-1032

Version 1.0: Fortinet FortiOS - Angreifende installierten persistenten Lesezugriff auf Firewalls

Am 10. April 2025 veröffentlichte der Hersteller Fortinet einen PSIRT-Blogbeitrag über beobachtete Kompromittierungen durch mehrere bekannte Schwachstellen im Betriebssystem FortiOS der Firewall-Serie FortiGate. Die Angreifenden nutzten dafür verschiedene Sicherheitslücken, die zwischen Dezember 2022 und Februar 2024 bekannt geworden waren, um unerkannten Lesezugriff zu etablieren. Im Detail handelt es sich hierbei um: CVE-2022-42475 (12.12.2022), eine kritische Heap Buffer Overflow Schwachstelle mit einem CVSS-Score von 9.8 CVE-2023-27997 (12.06.2023), eine kritische Heap Buffer Overflow Schwachstelle mit einem CVSS-Score von 9.8 CVE-2024-21762 (08.02.2024), eine kritische Out-of-bound Schwachstelle mit einem CVSS-Score von 9.8 Alle drei Verwundbarkeiten haben gemeinsam, dass sie Sicherheitslücken in der SSL-VPN-Komponente adressieren. Betroffen sind verschiedene Versionen des FortiGate-Betriebssystems FortiOS, die sowohl dem Blogbeitrag als auch den jeweiligen Advisories zu den genannten Schwachstellen entnommen werden können. Aufgrund der o.g. Fokussierung auf SSL-VPN sind Betreibende, die die SSL-VPN-Funktionalität seit der Inbetriebnahme ihrer FortiGates deaktiviert hatten, nicht betroffen. Fortinet konnte beobachten, wie Angreifende die genannten Schwachstellen nutzten, um sich persistenten Lesezugriff auf verwundbaren FortiGates zu verschaffen. Dies wurde erreicht, indem ein sogenannter symbolischer Link erstellt wurde. Dieser Link verband das Benutzer-Dateisystem mit dem Root-Dateisystem in einem Ordner, der eigentlich für Sprachdateien des SSL-VPN gedacht ist. Die Änderung fand im Benutzer-Dateisystem statt und blieb daher unentdeckt und zudem bei FortiOS-Aktualisierungen bestehen. So konnten Angreifende weiterhin lesend auf Dateien im System zugreifen und dadurch möglicherweise Konfigurationsdateien und Zugangsdaten entwenden, auch wenn die Schwachstellen selbst zwischenzeitlich gepatcht wurden.

www.bsi.bund.de · Bundesamt für Sicherheit in der Informationstechnik

If you have a fediverse account, you can quote this note from your own instance. Search https://social.bund.de/users/certbund/statuses/114319058152552626 on your instance and quote it. (Note that quoting is not supported in Mastodon.)