Fortinet FortiOS: Heap-basierter Buffer Overflow im cw_acd-Daemon

Zusammenfassung

Ein heap-basierter Buffer Overflow im cw_acd-Daemon von FortiOS und FortiSwitchManager erlaubt einem entfernten, nicht authentifizierten Angreifer, beliebigen Code oder Befehle über speziell präparierte Anfragen auszuführen. Laut Fortinet betrifft die Schwachstelle die Verarbeitung von Security-Fabric- bzw. CAPWAP-Datenverkehr, der zur zentralen Verwaltung von WLAN-Access-Points dient. NVD stuft die Schwachstelle mit CVSS 9.8 als kritisch ein, Fortinet bewertet sie mit 8.1, und die CISA führt sie seit dem 2026-09-09 als aktiv ausgenutzt. Jedes FortiGate mit aktiviertem Fabric-Dienst auf einer betroffenen Version, insbesondere auf Internet-seitigen Schnittstellen, ist dringend zu behandeln.

Betroffen

• FortiOS 7.6.0 bis 7.6.3
• FortiOS 7.4.0 bis 7.4.8
• FortiOS 7.2.0 bis 7.2.11
• FortiOS 7.0.0 bis 7.0.17
• FortiOS 6.4 (alle Versionen)
• FortiSwitchManager 7.2.0 bis 7.2.6
• FortiSwitchManager 7.0.0 bis 7.0.5

Quelle: Fortinet-Advisory FG-IR-25-084. Der CVE-Eintrag nennt abweichende Versionsbereiche; hier wird das Advisory des Herstellers verwendet.

Behoben in

• FortiOS 7.6.4 oder höher
• FortiOS 7.4.9 oder höher
• FortiOS 7.2.12 oder höher
• FortiOS 7.0.18 oder höher
• FortiSwitchManager 7.2.7 oder höher
• FortiSwitchManager 7.0.6 oder höher
• FortiOS 6.4: Unbekannt. Das Advisory lautet 'Migrate to a fixed release'.
• FortiSASE: behoben in 25.2.c und 25.1.b, keine Massnahmen durch Kunden erforderlich.

Umgehung

• Den Dienst 'fabric' aus den erlaubten Zugriffen aller Schnittstellen entfernen (zum Beispiel set allowaccess ssh https).
• Alternativ CAPWAP-CONTROL (UDP 5246 bis 5249) mit einer local-in-Policy blockieren, die nur vertrauenswürdige CAPWAP-Geräte auf Schnittstellen mit aktiviertem Fabric zulässt.
• Diese Workarounds ersetzen das Update nicht.

Ausnutzung

• Die CISA hat die Schwachstelle am 2026-09-09 in den Katalog der bekannt ausgenutzten Schwachstellen aufgenommen.
• SOCRadar meldet aktive Ausnutzung im Zusammenhang mit dem Post-Exploitation-RAT PivotC2.
• Öffentlicher Proof-of-Concept-Code: Unbekannt.
• CISA SSVC: Ausnutzung aktiv, nicht automatisierbar, totale technische Auswirkung.

Unsere Empfehlung

• FortiOS und FortiSwitchManager umgehend auf die oben genannten Versionen aktualisieren.
• Falls ein Patch nicht sofort möglich ist, die Workarounds anwenden.
• Alle FortiGate-Geräte auf den Dienst 'fabric' an Internet-seitigen Schnittstellen prüfen und die Exposition reduzieren.
• Protokolle auf Anzeichen einer Kompromittierung, unerwartete Administratorkonten und Konfigurationsänderungen prüfen.
• Geräte mit FortiOS 6.4 durch eine unterstützte Version ersetzen, da keine behobene 6.4-Version bestätigt ist.
• Das Advisory des Herstellers auf Aktualisierungen überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Fortinet PSIRT FG-IR-25-084 fortiguard.fortinet.com
• CISA Known Exploited Vulnerabilities Catalog www.cisa.gov
• SOCRadar: PivotC2 FortiGate RAT socradar.io
• Qualys ThreatPROTECT: FortiOS and FortiSwitchManager code execution threatprotect.qualys.com
• Siemens SSA-864900 cert-portal.siemens.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 19:55.