FortiManager und FortiAnalyzer: Path-Traversal ermöglicht Benutzern mit reinem Lesezugriff das Schreiben und Löschen von Dateien (CVE-2025-61625)

Was passiert ist

Fortinet beschreibt die Schwachstelle als unzureichende Begrenzung eines Pfadnamens auf ein eingeschränktes Verzeichnis – als Path Traversal bekannt – in der JSON-API von FortiManager und FortiAnalyzer. Ein Angreifer, der sich mit einem Profil authentifizieren kann, das nur über eine Leseberechtigung verfügt, kann über manipulierte HTTP- oder HTTPS-Anfragen Dateien im zugrunde liegenden Dateisystem schreiben und löschen. Der Angriff setzt Netzwerkzugriff auf die API, geringe Privilegien und keine Benutzerinteraktion voraus; er ist daher auch dann relevant, wenn das Konto bewusst auf reinen Lesezugriff beschränkt ist.

Fortinet stuft die Schwachstelle mit einem CVSS-3.1-Wert von 7,3 als hoch ein. Der Vektor weist keine Auswirkungen auf die Vertraulichkeit, aber hohe Auswirkungen auf Integrität und Verfügbarkeit auf. Fortinet hat keine aktive Ausnutzung gemeldet, und der CVE-Eintrag führt die Schwachstelle nicht im Katalog „Known Exploited Vulnerabilities“ (KEV) von CISA. Laut dem Eintrag wurde die Schwachstelle bisher nicht öffentlich offengelegt.

Wer betroffen ist

Fortinet nennt die folgenden betroffenen Versionen:

• FortiManager 7.6.0 bis einschließlich 7.6.4, 7.4.0 bis einschließlich 7.4.7 und 7.2.0 bis einschließlich 7.2.11
• FortiAnalyzer 7.6.0 bis einschließlich 7.6.4, 7.4.0 bis einschließlich 7.4.7 und 7.2.0 bis einschließlich 7.2.11
• FortiManager Cloud 7.6.0 bis einschließlich 7.6.4, 7.4.1 bis einschließlich 7.4.7 und 7.2.1 bis einschließlich 7.2.10

Diese Produkte übernehmen typischerweise zentrale Verwaltungs- und Protokollanalyseaufgaben. Die JSON-API ist über HTTP oder HTTPS erreichbar. Der Sicherheitshinweis von Fortinet nennt bislang keine korrigierten Versionen.

Was jetzt zu tun ist

1. Beschränken Sie den Zugriff auf die Verwaltungs- und JSON-API-Endpunkte von FortiManager und FortiAnalyzer auf vertrauenswürdige Verwaltungsnetzwerke oder eine dedizierte Schnittstelle. Stellen Sie sicher, dass sie nicht direkt aus dem Internet erreichbar sind.
2. Überprüfen Sie jedes Konto, dessen Profil nur über eine Leseberechtigung verfügt. Entfernen oder sperren Sie Konten, die betrieblich nicht erforderlich sind, und verwenden Sie für automatisierte Zugriffe oder Zugriffe Dritter separate Anmeldedaten.
3. Überwachen Sie die betroffenen Systeme auf unerwartetes Schreiben oder Löschen von Dateien und behandeln Sie Änderungen, die von API-Konten mit reinem Lesezugriff stammen, als verdächtig.
4. Beobachten Sie den Sicherheitshinweis FG-IR-26-190 von Fortinet im Hinblick auf korrigierte Versionen oder eine Problemumgehung des Herstellers. Da noch kein Fix und keine Problemumgehung veröffentlicht wurden, spielen Sie keine nicht unterstützten Patches ein.

Wie man es erkennt

Fortinet hat für diese Schwachstelle keine Kompromittierungsindikatoren veröffentlicht. Überprüfen Sie die API-Protokolle von FortiManager und FortiAnalyzer auf HTTP- oder HTTPS-Anfragen von Profilen mit reinem Lesezugriff, die mit Schreib- oder Löschvorgängen an Dateien korrespondieren. Untersuchen Sie jede unerwartete Erstellung oder Löschung von Dateien im zugrunde liegenden Dateisystem und setzen Sie diese Änderungen zu API-Zugriffen durch Konten mit geringen Rechten oder reinem Lesezugriff in Beziehung.

Über den Patch hinaus

Über die unmittelbare Eindämmung hinaus erinnert dieser Fall daran, dass ein API-Konto mit reinem Lesezugriff weiterhin eine Angriffsfläche darstellt, wenn die API eine Schwachstelle aufweist. Lieferkettenschutz & Drittparteirisiko hilft Ihnen, den Überblick darüber zu behalten, welche Fortinet-Versionen Sie einsetzen und mit welchem Patchzyklus des Herstellers diese Gefährdung schließlich behoben wird. Wird ein Konto mit geringen Rechten missbraucht, kann Managed Detection and Response die daraus resultierenden Schreib- und Löschaktivitäten auf dem Host erkennen.