CVE-2025-68686
Fortinet FortiOS Exposure of Sensitive Information to an Unauthorized Actor Vulnerability
Beschreibung
CVE-2025-68686 ist eine Schwachstelle durch Preisgabe sensibler Informationen an einen unautorisierten Akteur in Fortinet FortiOS, die es einem nicht authentifizierten Angreifer aus der Ferne erlaubt, den von Fortinet entwickelten Patch gegen den Persistenzmechanismus über symbolische Links zu umgehen. Über manipulierte HTTP-Anfragen erlangt ein Angreifer erneut Lesezugriff auf sensible Daten hinter einem Symlink, der bei einer früheren Kompromittierung im Dateisystem platziert wurde — die Ausnutzung dieser FortiOS-Schwachstelle setzt also voraus, dass das Gerät bereits über eine andere Lücke auf Dateisystemebene kompromittiert wurde. Die Bewertung liegt bei CVSS 5.9 (Mittel) mit hoher Angriffskomplexität und hoher Auswirkung auf die Vertraulichkeit; CVE-2025-68686 ist damit weniger ein Einstiegspunkt als ein Persistenz- und Exfiltrationspfad, der den ursprünglichen Fix überlebt. CISA hat CVE-2025-68686 mit Frist 10.08.2026 in den KEV-Katalog aufgenommen und bestätigt damit aktive Ausnutzung in freier Wildbahn.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:NIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| fortinet | fortios | >= 6.4.0, < 7.4.7; >= 7.6.0, < 7.6.2 |
Referenzen
- https://fortiguard.fortinet.com/psirt/FG-IR-25-934(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-68686(US Government Resource)
Schwachstellentyp
CWE-200: Preisgabe sensibler Informationen an einen unautorisierten Akteur
Preisgabe sensibler Informationen an einen unautorisierten Akteur tritt auf, wenn ein Produkt sensible Informationen an Parteien offenlegt, die keinen Zugriff darauf haben sollten — sei es durch unzureichende Zugriffskontrollen auf Datenspeicher, über Seitenkanäle oder durch Antworten, die mehr zurückgeben als vorgesehen. In FortiOS bedeutet der unvollständige Fix für den Symlink-Persistenzmechanismus, dass eine manipulierte HTTP-Anfrage weiterhin Daten hinter einem vom Angreifer platzierten Symlink erreicht; eine entfernte Partei ohne gültige Zugangsdaten kann so Dateien lesen, die der Patch außer Reichweite bringen sollte.
Mehr erfahren: CWE-200 — Preisgabe sensibler Informationen an einen unautorisierten Akteur
Auswirkungsanalyse
CVE-2025-68686 hat einen CVSS-3.1-Basiswert von 5.9 (Mittel): Die Schwachstelle ist aus der Ferne ohne physischen Zugriff ausnutzbar und erfordert weder Authentifizierung noch Benutzerinteraktion, doch die hohe Angriffskomplexität spiegelt eine echte Voraussetzung wider — der Angreifer muss das FortiOS-Gerät über eine separate Schwachstelle bereits auf Dateisystemebene kompromittiert haben, damit ein Symlink vorhanden ist. Vertraulichkeit (Hoch): Ist diese Voraussetzung erfüllt, verschaffen die manipulierten HTTP-Anfragen Zugriff auf sensible Daten der Firewall, auf einem FortiOS-Gerät also potenziell Konfigurationsmaterial und Zugangsdaten, die weitere Bewegung in das geschützte Netz eröffnen. Integrität und Verfügbarkeit (Keine): Über diesen Pfad kann ein Angreifer die Konfiguration nicht verändern und das Gerät nicht außer Betrieb setzen. Sicherheitsrelevant ist vor allem, dass ein Fortinet-Kunde, der den früheren Symlink-Patch eingespielt und den Vorfall als abgeschlossen betrachtet hat, weiterhin exponiert sein kann. Da CISA die Ausnutzung in freier Wildbahn bei einer Geräteklasse am Netzwerkperimeter bestätigt, sind ungepatchte FortiOS-Systeme wie ein laufender Vorfall und nicht wie ein Routine-Patch zu behandeln.
Exploit-Reifegrad
CVE-2025-68686 steht im CISA-Katalog der Known Exploited Vulnerabilities, aktive Ausnutzung in freier Wildbahn ist damit bestätigt; ein Einsatz durch Ransomware ist derzeit als unbekannt eingestuft. In den vorliegenden Referenzen findet sich kein öffentlicher Exploit-Code — veröffentlicht sind das Fortinet-PSIRT-Advisory FG-IR-25-934 und der CISA-KEV-Eintrag —, doch Fortinet selbst ordnet die Technik beobachteter Post-Exploitation-Aktivität zu, die Fähigkeit liegt also bei realen Akteuren und nicht nur bei Forschern. Der EPSS-Wert von 1,26 % (66,8. Perzentil) ist moderat und passt zu einer Schwachstelle, die sich wegen der erforderlichen Vorkompromittierung nicht für opportunistische Massenausnutzung eignet. Für Verteidiger lautet die praktische Frage nicht, ob ein internetweiter Scan sie findet, sondern ob ihr FortiOS-Gerät früher bereits kompromittiert wurde: Falls ja, ist diese Patch-Umgehung ein aktiver Rückweg, und vor der KEV-Frist am 10.08.2026 sind sowohl das Patchen als auch eine vollständige Kompromittierungsanalyse erforderlich.
Behebung
- Befolgen Sie die von CISA im KEV-Katalog geforderte Maßnahme: Mitigationen gemäß Herstelleranweisungen anwenden, unter Einhaltung der BOD-26-04-Vorgaben zur risikobasierten Patch-Priorisierung und der „Forensics Triage Requirements" von CISA — oder den Einsatz des Produkts einstellen, falls keine Mitigationen verfügbar sind. Die KEV-Frist ist der 10.08.2026.
- Aktualisieren Sie FortiOS gemäß dem Fortinet-Advisory FG-IR-25-934. Betroffen sind Versionen ab 6.4.0 bis unter 7.4.7 sowie ab 7.6.0 bis unter 7.6.2 — wechseln Sie also auf FortiOS 7.4.7 oder 7.6.2 oder neuer; die Zweige 7.2, 7.0 und 6.4 sind in allen Versionen betroffen und erfordern eine Migration auf einen unterstützten, korrigierten Zweig.
- Behandeln Sie jedes betroffene Gerät als möglicherweise bereits kompromittiert, da die Ausnutzung vorherigen Zugriff auf Dateisystemebene voraussetzt. Suchen Sie im Dateisystem nach unerwarteten symbolischen Links, prüfen Sie die Konfiguration auf unautorisierte Administratoren, VPN-Benutzer und Automatisierungsskripte, und rotieren Sie alle auf dem Gerät gespeicherten Zugangsdaten, Zertifikate und Pre-Shared Keys.
- Beschränken Sie Administrations- und SSL-VPN-Schnittstellen auf bekannte Quelladressen und prüfen Sie HTTP-Request-Logs auf ungewöhnliche Pfade, die auf Versuche hindeuten, einen platzierten Symlink zu durchlaufen — entsprechend der forensischen Triage-Vorgaben von CISA für die betroffenen Assets.
- Zur langfristigen Härtung gegen Informationspreisgabe (CWE-200): das Least-Privilege-Prinzip für alle Datenzugriffe auf dem Gerät durchsetzen, Konfigurationsbackups und Zugangsdaten möglichst nicht auf dem Gerät halten, und nach jedem Hersteller-Fix aktiv verifizieren, dass die zugehörigen Kompromittierungsindikatoren fehlen, statt anzunehmen, ein Patch entferne einen bestehenden Zugang.
Technische Details
Hinter CVE-2025-68686 steht eine unvollständige Behebung: Fortinet hatte zuvor einen Patch gegen eine Persistenztechnik über symbolische Links ausgeliefert, die Angreifer nach der Kompromittierung von FortiOS einsetzten, und diese Schwachstelle zeigt, dass manipulierte HTTP-Anfragen diesen Pfad weiterhin nutzen und sensible Informationen offenlegen können (CWE-200). Weil die Preisgabe über die HTTP-Schnittstelle des Geräts funktioniert, erfolgt der Angriff über das Netzwerk ohne Zugangsdaten und ohne Benutzerinteraktion, passend zu den Metriken AV:N, PR:N und UI:N im Vektor CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N. Die Einstufung AC:H beschreibt dabei die Abhängigkeitskette und nicht die Schwierigkeit des Payloads: Der Angreifer benötigt eine bestehende Kompromittierung auf Dateisystemebene aus einer anderen Schwachstelle, damit der zu verfolgende Symlink überhaupt existiert — praktisch ist CVE-2025-68686 damit eine Schwachstelle der zweiten Stufe. Der Scope bleibt unverändert (S:U), betroffen ist ausschließlich die Vertraulichkeit mit „Hoch" (C:H), was zu einem Leseprimitiv passt, das geschützte Dateien zurückgibt, ohne den Gerätezustand zu verändern. Der betroffene Bereich umfasst FortiOS 6.4, 7.0, 7.2, 7.4.0 bis 7.4.6 sowie 7.6.0 bis 7.6.1.
Häufig gestellte Fragen
Wird CVE-2025-68686 aktiv ausgenutzt?
Ja. CVE-2025-68686 steht mit Behebungsfrist 10.08.2026 im CISA-Katalog der Known Exploited Vulnerabilities, und Fortinet beschreibt den Persistenzmechanismus über symbolische Links als in realen Post-Exploitation-Fällen beobachtet. Ein Einsatz durch Ransomware ist derzeit als unbekannt eingestuft, und der EPSS-Wert von 1,26 % entspricht dem 67. Perzentil, was zu gezieltem Einsatz statt breitem Scannen passt.
Welche Produkte sind von CVE-2025-68686 betroffen?
Betroffen ist Fortinet FortiOS ab Version 6.4.0 bis unter 7.4.7 sowie ab 7.6.0 bis unter 7.6.2. In Herstellerangaben umfasst das FortiOS 7.6.0 bis 7.6.1, 7.4.0 bis 7.4.6 sowie alle Versionen der Zweige 7.2, 7.0 und 6.4.
Wie behebe ich CVE-2025-68686?
Aktualisieren Sie FortiOS gemäß dem Fortinet-Advisory FG-IR-25-934 auf 7.4.7 oder 7.6.2 oder neuer und migrieren Sie die Zweige 6.4, 7.0 und 7.2 auf ein unterstütztes, korrigiertes Release. Da die Ausnutzung eine frühere Kompromittierung auf Dateisystemebene voraussetzt, sollten Sie zusätzlich nach unerwarteten symbolischen Links suchen, die Konfiguration auf unautorisierte Konten prüfen und alle auf dem Gerät gespeicherten Zugangsdaten rotieren.
Wie schwerwiegend ist CVE-2025-68686?
CVE-2025-68686 ist mit einem CVSS-3.1-Basiswert von 5.9 als Mittel eingestuft: nicht authentifiziert und aus der Ferne nutzbar, aber mit hoher Angriffskomplexität, weil das Gerät bereits kompromittiert sein muss, und mit hoher Auswirkung ausschließlich auf die Vertraulichkeit. In einer realen Angriffskette ist die effektive Schwere höher als der Wert vermuten lässt, denn die Lücke stellt den Zugriff eines Angreifers auf sensible Daten eines Perimeter-Sicherheitsgeräts wieder her, nachdem der ursprüngliche Patch eingespielt wurde.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.