Kerngegevens
- Leverancier
- Fortinet
- Soort software
- firewall
- Getroffen versies
- FortiOS 7.4.0 t/m 7.4.2, 7.2.0 t/m 7.2.6, 7.0.0 t/m 7.0.13, 6.4.0 t/m 6.4.14, 6.2.0 t/m 6.2.15, alle 6.0-versies
- FortiProxy 7.4.0 t/m 7.4.2, 7.2.0 t/m 7.2.8, 7.0.0 t/m 7.0.14, 2.0.0 t/m 2.0.13, alle 1.0-, 1.1- en 1.2-versies
- Oplossing
- Update beschikbaar
- Opgeloste versie
- FortiOS 7.4.3, 7.2.7, 7.0.14, 6.4.15 of 6.2.16 (6.0: overstappen naar een ondersteunde versie)
- FortiProxy 7.4.3, 7.2.9, 7.0.15 of 2.0.14 (1.x: overstappen naar een ondersteunde versie)
- CVE gepubliceerd
- 9 februari 2024
- Op de KEV-lijst sinds
- 9 februari 2024
- Gepubliceerd op LekkenRadar
- 22 oktober 2026
- Laatst gewijzigd bij NVD
- 22 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
Dit lek stamt al uit 2024 en staat sinds februari 2024 op de lijst van actief misbruikte lekken. Het gaat om een schrijffout buiten de grenzen van het geheugen in Fortinet FortiOS en FortiProxy. Een aanvaller kan met speciaal samengestelde verzoeken ongeautoriseerde code of opdrachten uitvoeren. De ernst is kritiek (9,8). Volgens de lijst is het lek ook gebruikt bij ransomware-campagnes.
Wie loopt risico?
Vooral oudere, niet bijgewerkte FortiGate- en FortiProxy-apparaten lopen risico. Het lek zit in de SSL VPN-functie: staat SSL VPN aan en draait het apparaat een van de getroffen versies, dan kan een aanvaller zonder inloggen via het netwerk binnenkomen. FortiOS 7.6 is niet getroffen. Wie in 2024 al heeft bijgewerkt naar een opgeloste of nieuwere versie, is beschermd.
Wat moet je doen?
Ga na of je dit nog gebruikt
Controleer of je ergens FortiOS of FortiProxy draait in een van de getroffen versies, ook op apparaten die weinig aandacht krijgen, zoals reservefirewalls of apparaten bij kleine vestigingen.
Werk bij naar een opgeloste versie
FortiOS: 7.4.3, 7.2.7, 7.0.14, 6.4.15 of 6.2.16 of nieuwer. FortiProxy: 7.4.3, 7.2.9, 7.0.15 of 2.0.14 of nieuwer. Voor FortiOS 6.0 en FortiProxy 1.x is er geen fix: stap over op een ondersteunde versie. Bij voorkeur werk je meteen bij naar de nieuwste versie van je reeks.
Kun je niet bijwerken? Zet SSL VPN uit
Volgens Fortinet is het uitschakelen van SSL VPN de enige tijdelijke maatregel. Alleen webmode uitzetten helpt niet.
Controleer op sporen van misbruik
Het lek wordt al sinds 2024 misbruikt, ook bij ransomware-aanvallen. Draaide je lang een kwetsbare versie, controleer dan de configuratie en beheeraccounts op onbekende wijzigingen en volg de controles uit het advies van Fortinet. Bijwerken verwijdert een eerder geplaatste achterdeur niet.
Vervang verouderde apparaten
Krijgt je apparaat geen updates meer, vervang het dan of haal het van internet, zoals de lijst van actief misbruikte lekken adviseert.
Let op: FortiOS 7.2 krijgt sinds 30 september 2026 geen updates meer. Stap over naar FortiOS 8.0 of nieuwer. Bekijk bij Producten zonder updates
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek is een schrijffout buiten de grenzen van het geheugen (out-of-bounds write, CWE-787) in FortiOS en FortiProxy. Speciaal samengestelde verzoeken kunnen ertoe leiden dat een aanvaller ongeautoriseerde code of opdrachten uitvoert. De CVSS 3.1-vector (AV:N/AC:L/PR:N/UI:N) laat zien dat misbruik via het netwerk kan, zonder inloggegevens en zonder tussenkomst van een gebruiker. De score van 9,8 is afkomstig van de CNA. De EPSS-score is 0,834. Het lek staat sinds februari 2024 op de KEV-lijst en is volgens die lijst gebruikt bij ransomware-campagnes.
CVSS-vector (versie 3.1, basisscore 9,8, bron: CNA)
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-787 · Schrijven buiten de grenzen van het geheugen
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 83,4%
- Aanvalscode openbaar
- Ja
- Op de KEV-lijst van CISA
- Sinds 9 februari 2024
- Deadline van CISA
- 16 februari 2024
- Gebruikt door ransomwaregroepen
- Ja, volgens CISA