Betroffene Einrichtungen
Bereich
Eine Schwachstelle in Fortinet FortiOS ermöglicht es einem entfernten, nicht authentifizierten Angreifer, den Sicherheitspatch für den symbolischen Link-Persistenzmechanismus durch speziell gestaltete HTTP-Anfragen zu umgehen und so nach einer vorangegangenen Kompromittierung auf Dateisystemebene sensitive Informationen offenzulegen. Voraussetzung ist, dass das System bereits über eine andere Schwachstelle kompromittiert wurde; die vorliegende Lücke ermöglicht dann, erworbene Persistenz aufrechtzuerhalten und Patches zu unterlaufen. FortiOS wird in Gesundheitseinrichtungen häufig als Betriebssystem auf Fortinet-Firewalls und VPN-Gateways eingesetzt, die den Zugang zu klinischen Netzwerken, KIS-Systemen und Patientendaten absichern – ein erfolgreicher Angriff könnte dort die Verfügbarkeit kritischer IT-Infrastruktur gefährden und mittelbar die Patientensicherheit beeinträchtigen. Angesichts der aktiven Ausnutzung (CISA KEV) ist umgehende Aktualisierung und Kompromittierungsprüfung dringend geboten.
1 Fortinet FortiOS sofort auf die von Fortinet bereitgestellte gepatchte Version aktualisieren, die den Bypass-Schutz für den symbolischen Link-Persistenzmechanismus behebt – Patch-Details und betroffene Versionen im Fortinet Security Advisory (FG-IR) prüfen und unverzüglich anwenden.
2. FortiOS-Systeme auf Anzeichen einer vorangegangenen Kompromittierung untersuchen: Dateisystem-Integrität prüfen, unbekannte symbolische Links identifizieren und Logs auf anomale HTTP-Anfragen von externen Quellen analysieren.
3. Netzwerksegmentierung überprüfen: sicherstellen, dass das FortiOS-Management-Interface nicht aus dem Internet erreichbar ist und ausschließlich über dedizierte, gesicherte Management-Netzwerke zugänglich ist.
4. Temporäre Kompensationsmaßnahme: eingehende HTTP-Anfragen auf FortiOS-Administrationsoberflächen durch vorgelagerte Zugriffskontrolllisten (ACLs) auf autorisierte IP-Adressen beschränken, bis das Patch eingespielt ist.
5. Vorfall dem zuständigen CISO und ggf. dem BSI melden, sofern eine aktive Ausnutzung in der Einrichtung festgestellt wurde; Incident-Response-Prozess gemäß NIS2 und B3S-Anforderungen einleiten.
NIS2-Relevanz: ••• B3S: ••• ISG: ••ˆ Meldepflicht DE: ja