Zwei Forscher des deutschen IT-Sicherheitsunternehmens G Data haben eine Schwachstelle in der Firmware von Fortinet-Gateways entdeckt, die es Angreifern ermöglicht, Passwörter für VPN-Zugänge zu Unternehmensnetzwerken zu erlangen. Dieser Angriff baut auf einer bereits 2019 behobenen Sicherheitslücke auf. Fortinet hatte Administratoren damals empfohlen, einen eigenen Schlüssel zur Verschlüsselung von Konfigurationsbackups zu verwenden, aber in einem Fall wurde der hart kodierte Standardschlüssel immer noch genutzt.

Zusätzlich entdeckten die Forscher eine neue Sicherheitslücke (CVE-2024-21754), bei der Fortinet nur eine Runde SHA256 zur Schlüsselerzeugung verwendet. Dies macht es relativ einfach, das Passwort zur Entschlüsselung von Backups zu knacken, da Fortinet eine maximale Passwortlänge von 15 Zeichen vorgibt.

G Data meldete diese neue Lücke im Oktober 2023 an Fortinet. Patches sind seit dem 10. Juni verfügbar und betreffen mehrere Versionen von FortiOS und FortiProxy. Das Problem wurde mit FortiOS 7.4.4 und FortiProxy 7.4.3 behoben.