Fortinet: Jetzt Patchen, Details zu Lücken erst im November

Fortinet hat Sicherheitsupdates für kritische und hoch eingestufte Schwachstellen in mehreren Produkten veröffentlicht, nennt Einzelheiten zu den Lücken aber erst später. CVE-Kennungen und vollständige Sicherheitshinweise sollen am 10. November folgen, knapp drei Wochen nach den Patches. Hinweise auf eine aktive Ausnutzung gibt es laut den bisherigen Berichten nicht.

„Wir fordern alle Kunden dringend auf, diese Upgrades zu planen und zügig abzuschließen, sobald die Versionen verfügbar sind, und dabei mit dem Internet verbundene Geräte vorrangig zu behandeln.”
Carl Windsor, Fortinet-CISO

Fünf Produkte betroffen

Am 22. Oktober hat Fortinet Updates für FortiOS, FortiManager und FortiAnalyzer in den Versionszweigen 7.2, 7.4, 7.6 und 8.0 veröffentlicht. Korrigiert sind laut Sicherheitsforschern unter anderem FortiOS 8.0.2, 7.6.8, 7.4.13 und 7.2.14 sowie FortiManager und FortiAnalyzer 8.0.2, 7.6.8, 7.4.12 und 7.2.13. Bereits am 21. Oktober folgten Updates für FortiMail in den Zweigen 7.2 bis 8.0 und für FortiAuthenticator in den Zweigen 6.6 und 8.0.

Nach Angaben von Fortinet enthalten die Updates erstmals Korrekturen, die das Unternehmen über ein Testprogramm mit Unterstützung von Frontier-KI gefunden hat. Daran beteiligt sind unter anderem Anthropic über Project Glasswing und OpenAI über das Programm Daybreak.

Begründung: Zeit bis zum Exploit schrumpft

Windsor begründet die frühe Veröffentlichung der Patches ohne Details damit, dass Kunden die kritischen Korrekturen nicht als gewöhnliche Wartung behandeln sollen. Zudem verkürze sich die Zeit zwischen der Veröffentlichung einer Lücke und ihrer Ausnutzung durch KI-Werkzeuge stark. Angreifer vergleichen bei sogenanntem Patch Diffing gepatchte und ungepatchte Software, um die Änderungen nachzuvollziehen. Mit KI ließen sich laut Windsor zudem mehrere weniger schwere Lücken zu einer schwerwiegenden Schwachstelle verketten. Das Sicherheitsunternehmen watchTowr hatte im September erklärt, das Zeitfenster sei von zwei Wochen auf vier Stunden geschrumpft.

Kritik an fehlenden Details

Yordan Ganchev, Principal Threat Intelligence Specialist bei watchTowr, hält die Verzögerung für problematisch. Drei Wochen ohne Informationen gäben Angreifern und Forschern Raum, selbst nach den Lücken zu suchen. Er erwartet, dass die Schwachstellen schnell nachvollzogen und ausgenutzt werden. Die betroffenen Produkte seien beliebte Ziele und tauchten regelmäßig im Katalog aktiv ausgenutzter Schwachstellen der US-Behörde CISA auf.

Wer nicht sofort aktualisieren kann, sollte den Verwaltungszugang auf vertrauenswürdige IP-Adressen beschränken, FortiManager nicht aus dem Internet erreichbar machen und Multi-Faktor-Authentifizierung durchsetzen. Ganchev rät zudem, aus dem Internet erreichbare Verwaltungsoberflächen abzuschalten oder den Zugriff darauf einzuschränken.

(red)