In Fortinets FortiOS und Aristas VeloCloud Orchestrator On-Prem klaffen teils höchst kritische Sicherheitslücken, die bösartige Akteure derzeit angreifen. Die FortiOS-Lücke hat bereits einige Monate auf dem Buckel, Arista-Admins können seit dem Montag dieser Woche mit einem Update die Lücke schließen.
Die US-amerikanische Cybersicherheitsbehörde CISA warnt vor den Attacken und nennt lediglich die Schwachstellennummern, die im Visier der Angreifer stehen. Die Sicherheitslücke in FortiOS findet sich im SSL-VPN und ermöglicht das unbefugte Auslesen vertraulicher Informationen mit manipulierten HTTP-Anfragen – ohne vorherige Authentifizierung (CVE-2025-68686, CVSS 5.3, Risiko „mittel“). Betroffen sind die FortiOS-Zweige 6.4, 7.0, 7.2, 7.4 und 7.6. Fortinet korrigiert das lediglich mit den Versionen 7.6.2 sowie 7.4.7 und neueren. Wer ältere Versionszweige einsetzt, muss auf diese migrieren. Laut Fortinet lässt sich die Schwachstelle allerdings nur dann missbrauchen, wenn ein Angreifer das Gerät zuvor über eine andere Lücke auf Dateisystemebene kompromittiert hat. Die Sicherheitsmeldung von Fortinet hat noch keinen Hinweis auf die aktuell beobachteten Exploits (Known Exploited gibt das Unternehmen mit „No“ an).
Kritische Arista-Lücke
In einer Sicherheitsmitteilung vom Montag warnt Arista vor einer gravierenden Schwachstelle in VeloCloud Orchestrator (VCO) On-Prem. Angreifer aus dem Netz können auf interne Funktionen zugreifen und Einfluss auf den VCO-Host nehmen, für die höhere Rechte nötig sind (CVE-2026-16812, CVSS 10.0, Risiko „kritisch“). Diese Funktionen sollten eigentlich nicht extern zugreifbar sein, erklärt Arista. Gehostete und verwaltete Versionen hat der Hersteller bereits mit Patch versehen, IT-Verantwortliche mit On-Premises-Installationen müssen jedoch rasch selbst aktiv werden. Die fehlerbereinigten VeloCloud-Orchestrator-Versionen lauten 5.2.3.14, 6.1.3.4, 6.4.2.4 und 7.0.0.1.
Die Autoren der Arista-Meldung weisen darauf hin, dass VCO standardmäßig im Netz erreichbar ist. Es gibt keine Konfiguration, die das unterbinden könnte. Angreifer benötigen jedoch Zugriff auf das VCO-Webinterface, weitere Zugangsdaten sind nicht nötig. Einige Hinweise für erfolgreiche Angriffe listet die Warnung auch auf und räumt ein, dass die Sicherheitsmitteilung auf aktiven Missbrauch der Schwachstelle und der darauffolgenden externen Erkennung erfolgte.
Fortinet-Admins konnten die Lücke bereits seit Februar abdichten. Das sollten sie gegebenenfalls spätestens jetzt nachholen. Außerdem sollten IT-Verantwortliche davon ausgehen, dass ihre Geräte kompromittiert wurden und entsprechende Untersuchungen einleiten, wenn sie die Updates erst jetzt einspielen können. Das ist insbesondere für die Arista-Schwachstelle empfehlenswert, da die Patches erst nach dem entdeckten Missbrauch erschienen sind.
Mitte Juni wurde bekannt, dass 74.000 Fortinet-Appliances auf mehreren Wegen geknackt wurden. Das Phänomen hat den Codenamen „FortiBleed“ erhalten.
(dmk)
English (US) ·