Fortinet FortiSandbox: OS-Command-Injection über unauthentifizierte HTTP-Anfragen

Zusammenfassung

Eine unzureichende Neutralisierung von Sonderzeichen in der Web-Oberfläche von FortiSandbox, FortiSandbox Cloud und FortiSandbox PaaS erlaubt einem nicht authentifizierten Angreifer, unautorisierte OS-Befehle auszuführen. Dazu genügen speziell gestaltete HTTP-Anfragen; Fortinet beschreibt eine Second-Order-Injection über JSON-Eingaben in der Funktion "start vnc". Der CVSS-Wert beträgt 9.8 (kritisch), und CISA hat die Schwachstelle in den Katalog der bekanntermassen ausgenutzten Schwachstellen aufgenommen, weshalb eine Ausnutzung in der Praxis als bestätigt gilt, auch wenn Fortinet dies nicht bestätigt hat.

Betroffen

• FortiSandbox 5.0.0 bis 5.0.5
• FortiSandbox 4.4.0 bis 4.4.8
• FortiSandbox 4.2 (alle Versionen, gemäss CVE-Eintrag; die PSIRT-Tabelle von Fortinet führt diesen Zweig nicht auf)
• FortiSandbox Cloud 5.0.4 bis 5.0.5
• FortiSandbox PaaS 5.0.4 bis 5.0.5
• Gemäss Fortinet nicht betroffen: FortiSandbox 5.2, FortiSandbox Cloud 5.2 und 4.4, FortiSandbox PaaS 5.2, 4.4 und 23.4

Behoben in

• FortiSandbox 5.0: Upgrade auf 5.0.6 oder neuer
• FortiSandbox 4.4: Upgrade auf 4.4.9 oder neuer
• FortiSandbox Cloud und PaaS: Der Anbieter wendet die Korrektur an; prüfen, ob der Patch vom 9. Juni 2026 (FG-IR-26-141) eingespielt ist
• FortiSandbox 4.2: Keine Korrektur dokumentiert; unbekannt

Umgehung

• Kein offizieller Workaround von Fortinet; Fortinet nennt nur Upgrades als Lösung.
• Drittanbieter-Empfehlung: Zugriff auf die Management-Schnittstelle auf vertrauenswürdige interne Adressen beschränken (von Fortinet nicht bestätigt).
• Für Systeme, die nicht sofort aktualisiert werden können, den Management-Zugriff einschränken und Kompensationsmassnahmen vor der Schnittstelle einsetzen.

Ausnutzung

• CISA KEV: bekanntermassen ausgenutzt, aufgenommen am 16. Juli 2026, mit Frist bis 19. Juli 2026 für Bundesbehörden.
• Fortinet hat die Ausnutzung nicht bestätigt; das PSIRT verzeichnet keine frühere Ausnutzung.
• Berichte über Ausnutzungsversuche ab Mitte Juni stammen aus Sekundärquellen und konnten nicht verifiziert werden.
• Öffentlicher Proof of Concept: unbekannt.

Unsere Empfehlung

• Alle FortiSandbox-, FortiSandbox-Cloud- und PaaS-Instanzen samt Versionen erfassen.
• Systeme 5.0 auf 5.0.6 oder neuer und Systeme 4.4 auf 4.4.9 oder neuer aktualisieren; aus dem Internet erreichbare Systeme priorisieren.
• Bei Cloud- und PaaS-Diensten beim Anbieter bestätigen, dass die Korrektur eingespielt ist.
• Systeme 4.2 als ungepatcht behandeln: Bei Fortinet eine korrigierte Version anfragen oder eine Migration planen und die Management-Schnittstelle bis dahin isolieren.
• Web-Oberflächen-Zugriffsprotokolle auf ungewöhnliche Anfragen prüfen und das Gerät auf unerwartete ausgehende Verbindungen oder Anzeichen einer Kompromittierung untersuchen, bevor davon ausgegangen wird, dass der Patch ausreicht.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (2 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  HORKimhab/CVE-2026-25089 · 0xBlackash/CVE-2026-25089

Quellen der Recherche

• Fortinet PSIRT FG-IR-26-141 fortiguard.fortinet.com
• CISA Known Exploited Vulnerabilities Catalog www.cisa.gov
• UpGuard CVE-2026-25089 www.upguard.com
• CSA Research Note: FortiSandbox triple CVE exploitation labs.cloudsecurityalliance.org
• CSA Singapore Alert AL-2026-073 www.csa.gov.sg
• GovInfoSecurity: CISA adds FortiSandbox bugs to KEV www.govinfosecurity.com
• Linkloot: FortiSandbox CISA KEV July 19 deadline linkloot.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 19:53.