Ungepatchte Lücken in Load-Balancern von Fortinet
Fortinet hat mit einem Update eine Sicherheitslücke in seinen Load-Balancern der FortiWAN-Serie geschlossen. Andere Lücken scheinen davon aber unbenommen, was es Angreifern erlauben würde, Admin-Kommandos ohne entsprechende Rechte auszuführen.
![Ungepatchte Lücken in Load Balancern von Fortinet](https://heise.cloudimg.io/width/610/q85.png-lossy-85.webp-lossy-85.foil1/_www-heise-de_/imgs/18/1/8/8/4/9/0/5/fortiwan-a132402b744d4b34.png)
Load-Balancer der FortiWAN-Serie
- Fabian A. Scherschel
In der Software der FortiWAN Load-Balancer-Geräte von Fortinet stecken fünf Sicherheitslücken. Eine der Lücken wurde mit einem Update geschlossen, die übrigen scheinen nach wie vor zu klaffen. Das berichtet das CERT der Carnegie-Mellon-Universität. Angreifer können sich die Lücken zu Nutze machen, um auf den Geräten mit einem Konto ohne Adminrechte trotzdem Admin-Funktionen auszuführen. So könnten sie die Geräte umkonfigurieren, Traffic mitschneiden und Administratoren mittels Cross-Site-Scripting angreifen.
Das Software-Update 4.2.5 für FortiWAN-Geräte schließt die Lücke, mit der Angreifer Traffic mitschneiden können, ohne Admin-Rechte zu besitzen. Die Lücke, mit der normale Nutzer Kommandos in das Betriebssystem einschleusen können, die dann mit Adminrechten ausgeführt werden, ist aber wohl noch ungepatcht – auch drei weitere Schwachstellen scheinen nicht betroffen. Administratoren sollten das vorliegende Update aber trotzdem so schnell wie möglich einspielen und die Augen nach etwaigen Folge-Updates offen halten. (fab)