CVE-2025-24472
Fortinet FortiOS and FortiProxy Authentication Bypass Vulnerability
Beschreibung
CVE-2025-24472 ist eine Authentication-Bypass-Schwachstelle in Fortinet FortiOS (7.0.0 bis 7.0.16) und FortiProxy (7.0.0 bis 7.0.19 sowie 7.2.0 bis 7.2.12). Ein nicht authentifizierter Angreifer mit Kenntnis der Seriennummern von Up- und Downstream-Geraeten kann ueber manipulierte CSF-Proxy-Anfragen Super-Admin-Rechte auf dem Downstream-Geraet erlangen, sofern die Security Fabric aktiviert ist. Die Schwachstelle wird mit einem CVSS v3.1-Score von 8.1 (HIGH) bewertet.
Die CISA hat CVE-2025-24472 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 8. April 2025. Besonders besorgniserregend ist der bestaetigt Ransomware-Einsatz (Known) im Zusammenhang mit dieser Schwachstelle. FortiOS und FortiProxy sind in Unternehmensnetzwerken als Perimeter-Sicherheitsloesungen weit verbreitet, was die Schwachstelle zu einem bevorzugten Ziel fuer Angreifer macht.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| fortinet | fortiproxy | >= 7.0.0, < 7.0.20; >= 7.2.0, < 7.2.13 |
| fortinet | fortios | >= 7.0.0, < 7.0.17 |
Referenzen
- https://fortiguard.fortinet.com/psirt/FG-IR-24-535(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-24472(US Government Resource)
Schwachstellentyp
CWE-288: Authentifizierungsumgehung ueber alternativen Pfad oder Kanal
CVE-2025-24472 faellt unter CWE-288 (Authentication Bypass Using an Alternate Path or Channel), eine Schwachstellenklasse, bei der ein Produkt eine Authentifizierung erfordert, aber einen alternativen Pfad oder Kanal bereitstellt, der keine Authentifizierung erfordert. Im Fall von FortiOS und FortiProxy ermoeglicht die Security-Fabric-Kommunikation ueber CSF-Proxy-Anfragen eine Umgehung der normalen Authentifizierung, wenn der Angreifer die Seriennummern der beteiligten Geraete kennt.
Weitere Informationen: CWE-288 -- Authentication Bypass Using an Alternate Path or Channel
Auswirkungsanalyse
Die Auswirkungen von CVE-2025-24472 sind aufgrund der Erlangung von Super-Admin-Rechten auf Fortinet-Geraeten besonders schwerwiegend. Der CVSS-Score von 8.1 (HIGH) mit dem Vektor AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H zeigt, dass der Angriff ueber das Netzwerk ohne Authentifizierung moeglich ist, wenngleich mit hoher Komplexitaet -- der Angreifer muss die Seriennummern der beteiligten Geraete kennen. Vertraulichkeit, Integritaet und Verfuegbarkeit (alle High): Mit Super-Admin-Rechten kann ein Angreifer die vollstaendige Kontrolle ueber das Fortinet-Geraet uebernehmen, Firewall-Regeln aendern, VPN-Konfigurationen manipulieren, Netzwerkverkehr abfangen und das Geraet als Sprungbrett fuer weitergehende Angriffe nutzen. Die bestaetigt Ransomware-Nutzung (Known) zeigt, dass Angreifer diese Schwachstelle aktiv fuer Erpressungsangriffe einsetzen. Der EPSS-Score von 1.67 % im 82. Perzentil deutet auf eine moderate, aber reale Ausnutzungswahrscheinlichkeit hin.
Exploit-Reifegrad
CVE-2025-24472 weist eine hohe Exploit-Reife auf. Die CISA hat die Schwachstelle in den KEV-Katalog aufgenommen und die aktive Ausnutzung bestaetigt. Besonders bemerkenswert ist, dass der Ransomware-Status als Known klassifiziert ist -- Angreifer setzen diese Schwachstelle aktiv in Ransomware-Kampagnen ein. Fortinet hat in seinem Security Advisory FG-IR-24-535 die Schwachstelle bestaetigt und Patches bereitgestellt. Der EPSS-Score von 1.67 % ist moderat, was auf die hoehere Angriffskomplexitaet (Kenntnis der Geraeteseriennummern erforderlich) zurueckzufuehren ist. Dennoch ist die aktive Ausnutzung durch Ransomware-Gruppen bestaetigt, was die unmittelbare Handlungsnotwendigkeit unterstreicht.
Behebung
-
Sofortiges Update durchfuehren: Aktualisieren Sie FortiOS auf Version 7.0.17 oder hoeher. FortiProxy muss auf Version 7.0.20 oder hoeher (fuer die 7.0.x-Linie) bzw. 7.2.13 oder hoeher (fuer die 7.2.x-Linie) aktualisiert werden. Wenden Sie die Massnahmen gemaess Fortinet Security Advisory FG-IR-24-535 an.
-
Security Fabric ueberpruefen: Pruefen Sie, ob die Security Fabric aktiviert ist und ob unbefugte CSF-Proxy-Anfragen eingegangen sind. Ueberpruefen Sie die Konfiguration der Security-Fabric-Verbindungen und stellen Sie sicher, dass nur autorisierte Geraete miteinander kommunizieren.
-
Seriennummern-Exposition minimieren: Stellen Sie sicher, dass die Seriennummern von FortiOS- und FortiProxy-Geraeten nicht ueber Netzwerk-Scans, SNMP-Abfragen oder oeffentlich zugaengliche Konfigurationen einsehbar sind. Beschraenken Sie den Zugriff auf Management-Interfaces auf vertrauenswuerdige Netzwerke.
-
Forensische Untersuchung durchfuehren: Pruefen Sie die FortiOS-Logs auf verdaechtige CSF-Proxy-Anfragen und unauthorisierte Admin-Zugriffe. Suchen Sie nach Anzeichen einer Kompromittierung, insbesondere nach Aenderungen an Firewall-Regeln, VPN-Konfigurationen oder Benutzerokonten.
-
Ransomware-Vorsorge staerken: Angesichts der bestaetigt Ransomware-Nutzung sollten Backup-Strategien ueberprueft, Netzwerksegmentierung verstaerkt und Incident-Response-Plaene aktualisiert werden.
Technische Details
CVE-2025-24472 betrifft Fortinet FortiOS 7.0.0 bis 7.0.16 und FortiProxy 7.0.0 bis 7.0.19 sowie 7.2.0 bis 7.2.12. Der CVSS-Vektor CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H zeigt einen netzwerkbasierten Angriff mit hoher Komplexitaet (AC:H), da der Angreifer die Seriennummern der Up- und Downstream-Geraete kennen muss. Die Schwachstelle liegt in der CSF-Proxy-Kommunikation (Cooperative Security Fabric), ueber die FortiOS-Geraete in einer Security Fabric miteinander kommunizieren. Wenn die Security Fabric aktiviert ist, kann ein Angreifer manipulierte CSF-Proxy-Anfragen senden, die die Authentifizierung umgehen und Super-Admin-Rechte auf dem Downstream-Geraet gewaehren. Diese Art der Authentifizierungsumgehung ueber einen alternativen Kommunikationskanal (CWE-288) ist besonders tueckisch, da die regulaere Authentifizierung ueber die Weboberflaeche oder CLI intakt bleibt und der Angriff somit schwer zu erkennen ist.
Häufig gestellte Fragen
Wird CVE-2025-24472 aktiv ausgenutzt?
Ja, die CISA hat CVE-2025-24472 in den KEV-Katalog aufgenommen und die aktive Ausnutzung bestaetigt. Besonders besorgniserregend ist der bestaetigt Ransomware-Einsatz: Angreifer nutzen diese Schwachstelle aktiv in Erpressungskampagnen.
Welche Produkte sind von CVE-2025-24472 betroffen?
Betroffen sind FortiOS in den Versionen 7.0.0 bis 7.0.16 und FortiProxy in den Versionen 7.0.0 bis 7.0.19 sowie 7.2.0 bis 7.2.12. Die Schwachstelle ist nur ausnutzbar, wenn die Security Fabric aktiviert ist.
Wie behebe ich CVE-2025-24472?
Aktualisieren Sie FortiOS auf Version 7.0.17 oder hoeher und FortiProxy auf Version 7.0.20 bzw. 7.2.13 oder hoeher. Pruefen Sie alle Security-Fabric-Konfigurationen und fuehren Sie eine forensische Untersuchung der Logs durch.
Wie schwerwiegend ist CVE-2025-24472?
Mit einem CVSS-Score von 8.1 (HIGH) und bestaetigt Ransomware-Nutzung ist die Schwachstelle als hochkritisch einzustufen. Die Erlangung von Super-Admin-Rechten ermoeglicht die vollstaendige Kontrolle ueber das Fortinet-Geraet und damit potenziell ueber die gesamte Netzwerksicherheit.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.