Fortinet:Support-Alerts

Fortigate:Support-Alerts

Vorwort

Diese Seite informiert über Aktuelle Support Informationen sogenannte "Support Bulletin" von Fortinet!

Datenschutz

        *********************************************************************
        *                                                                   *
        *  THIS FILE MAY CONTAIN CONFIDENTIAL, PRIVILEGED OR OTHER LEGALLY  *
        *      PROTECTED INFORMATION. YOU ARE PROHIBITED FROM COPYING,      *
        *    DISTRIBUTING OR OTHERWISE USING IT WITHOUT PERMISSION FROM     *
        *                  ALSO SCHWEIZ AG SWITZERLAND.                     *
        *                                                                   *
        *********************************************************************

"Die in diesen Artikeln enthaltenen Informationen sind vertraulich und dürfen ohne
schriftliche Zustimmung von der ALSO Schweiz AG gegenüber Dritt-Unternehmen nicht 
                         bekannt gemacht werden"

Nuetzliche Links

PSIRT Blog Fortinet:

• https://www.fortinet.com/blog/psirt-blogs mit Shift und Mausklick auf den Link öffnet sich ein neues Fenster

kann auch als RSS Feed gezogen werden!

• https://feeds.fortinet.com/fortinet/blog/ciso-collective&x=1

Fortinet Security Vulnerability Policy

• https://www.fortiguard.com/psirt_policy mit Shift und Mausklick auf den Link öffnet sich ein neues Fenster

Häufige Fragen werden hier beantwortet:'

• https://www.fortiguard.com/faq mit Shift und Mausklick auf den Link öffnet sich ein neues Fenster

Wenn ich eine Sicherheitslücke in einem Fortinet Produkt finde, kann ich diese über folgendes Formular direkt an Fortinet melden:

• https://www.fortiguard.com/faq/psirt-contact mit Shift und Mausklick auf den Link öffnet sich ein neues Fenster

Customer Support Bulletin:

• https://support.fortinet.com/Information/Bulletin.aspx mit Shift und Mausklick auf den Link öffnet sich ein neues Fenster

kann auch als RSS Feed gezogen werden!

• https://support.fortinet.com/rss/csb.xml

---

add 28.10.2022 - 4Tinu

Psirt

Wieso soll ich meine Fortigate Systeme immer auf einem aktuellen Software Stand haben?

Beschreibung
Ein Bedrohungsakteur hat eine bekannte Schwachstelle ausgenutzt, um Lesezugriff auf anfällige FortiGate-Geräte zu implementieren. Dies wurde durch das Erstellen eines symbolischen Links erreicht, der das Benutzerdateisystem und das Root-Dateisystem in einem Ordner verbindet, der zum Bereitstellen von Sprachdateien für das ssL-VPN verwendet wird. Diese Änderung fand im Benutzerdateisystem statt und blieb unentdeckt. Daher könnte dieser symbolische Link zurückgeblieben sein, selbst wenn das Kunden-Gerät mit FortiOS-Versionen aktualisiert wurde, die die ursprünglichen Schwachstellen behoben haben, und dem Bedrohungsakteur weiterhin Lesezugriff auf Dateien im Dateisystem des Geräts ermöglichen, zu denen möglicherweise auch Konfigurationen gehören. Wichtig ist, dass der Kunde nicht betroffen ist, wenn ssL-VPN nie aktiviert war. Als Teil einer Untersuchung hat Fortinet Scans durchgeführt, um betroffene Geräte mithilfe interner Telemetrie und in Zusammenarbeit mit Drittorganisationen zu identifizieren. Die Daten zeigen, dass diese Bedrohungsakteur-Aktivität nicht auf eine bestimmte Region oder Branche abzielt. Abhilfe
Nach der Entdeckung der neuen Technik, die der Bedrohungsakteur oben beschrieben verwendet hat, hat Fortinet Schritte unternommen, um dieses Problem zu mildern und unterschiedliche Ebenen der Cyber-Hygiene und Herausforderungen, denen der Kunde möglicherweise gegenübersteht, auszubalancieren. Zu den Minderungsmassnahmen von Fortinet gehören:

• Ein AV/IPS-Signatur wurde erstellt, um diesen symbolischen Link auf betroffenen Geräten zu erkennen und zu bereinigen.
• Änderungen wurden in die neuesten Releases aufgenommen, um den symbolischen Link zu erkennen und zu entfernen und sicherzustellen, dass das ssL-VPN nur die erwarteten Dateien bereitstellt.
• Proaktive Kommunikation, die Kunden zum Aktualisieren ihrer Geräte auffordert, sorgfältig ausbalanciert, um gegen weitere unbeabsichtigte Kompromittierungen zu schützen, und gleichzeitig unser Engagement für verantwortungsvolle Transparenz erfüllt.

Speziell zu den in diesem Blog beschriebenen Ergebnissen (April 2025) hat Fortinet mehrere FortiOS-Abhilfemassnahmen veröffentlicht, darunter:

• FortiOS 7.4, 7.2, 7.0, 6.4: Der symbolische Link wurde als bösartig vom AV/IPS-Engine markiert, sodass er automatisch entfernt wird, wenn die Engine lizenziert und aktiviert ist.
• FortiOS 7.6.2, 7.4.7, 7.2.11 & 7.0.17, 6.4.16: Durch das Upgrade auf diese Version wird der bösartige symbolische Link entfernt.
• FortiOS 7.6.2, 7.4.7, 7.2.11 & 7.0.17, 6.4.16: Die ssL-VPN-Benutzeroberfläche wurde modifiziert, um das Bereitstellen solcher bösartigen symbolischen Links zu verhindern.

Fortinet hat direkt mit Kunden kommuniziert, die nach den verfügbaren Telemetriedaten als von diesem Problem betroffen identifiziert wurden, und empfehlen ihnen, folgende Schritte zu unternehmen:

• Alle Geräte auf 7.6.2, 7.4.7, 7.2.11 & 7.0.17 oder 6.4.16 upgraden.
• Die Konfiguration aller Geräte überprüfen.
• Alle Konfigurationen als potenziell kompromittiert betrachten und die empfohlenen Schritte unten befolgen, um sich zu erholen:
• KB-Artikel Fortinet

Muss ich upgraden?
Es ist von entscheidender Bedeutung, dass alle Organisationen ihre Geräte auf dem neuesten Stand halten. Verschiedene Regierungsorganisationen haben berichtet, dass staatlich unterstützte Bedrohungsakteure alle Anbieter, einschliesslich bekannter, aber ungepatchter Schwachstellen, ins Visier nehmen. Im Allgemeinen ist die beste Verteidigung gegen jede bekannte Schwachstelle die Einhaltung guter Cyber-Hygiene-Praktiken, einschliesslich Upgrades. Der 2H 2023 Global Threat Landscape Report von FortiGuard Labs hat herausgefunden, dass Bedrohungsakteure durchschnittlich 4,76 Tage nach der öffentlichen Bekanntgabe einer neuen Schwachstelle eine bekannte Schwachstelle ausnutzen. In diesem Klima haben sowohl Anbieter als auch Kunden eine Rolle zu spielen. Anbieter müssen robuste Sicherheitsprüfungen in allen Phasen des Produktentwicklungslebenszyklus einführen und sich der verantwortungsvollen Transparenz in ihren Schwachstellenmeldungen widmen. Mit mehr als 40.000 aufgezeichneten Schwachstellen im Jahr 2024 basierend auf Daten von NIST ist es auch von entscheidender Bedeutung, dass Kunden ein strenges Patch-Regime einhalten, um das Risiko einer Ausnutzung zu verringern. In Bezug auf diesen Vorfall hat Fortinet direkt mit identifizierten betroffenen Kunden kommuniziert, die auf Basis der verfügbaren Telemetrie Massnahmen ergreifen müssen. Fortinet empfiehlt jedoch allen Kunden, unabhängig davon auf eine dieser empfohlenen Versionen zu upgraden. Fortinet hat auch viele Änderungen integriert, um die Sicherheitsfunktionen weiter zu verbessern, die sich mit den wichtigsten Herausforderungen der Kunden befassen und für Kunden verfügbar sind, die auf die neueste Version aktualisieren, einschliesslich, aber nicht beschränkt auf:

• Zusätzliche Kompilierungszeit-Härtung, um die Angriffsbarriere auf Produkte zu erhöhen.
• Virtuelles Patchen, um Probleme vor der Patch-Verarbeitung zu mildern.
• Implementierung der Firmware-Integritätsvalidierung in Hardware (BIOS).
• Einführung der Integrity Measurement Architecture (IMA) / Filesystem Integrity.
• Automatische Updates, um Geräte nahtlos gegen Schwachstellen zu patchen, ohne dass Administratoren eingreifen müssen.

Fortinet ermutigt Kunden weiterhin, die FortiOS-Best-Practice-Ressourcen zu nutzen, einschliesslich Anleitungen zur Systemhärtung sowie Funktionen, die Kunden helfen, den Aktualisierungsprozess zu automatisieren, wie Uninterrupted Cluster Upgrade, Sub-second failover, Fail-over protection, Auto-restore configs / Configuration revisions und Automatic / Scheduled patch upgrades.

Quelle: https://www.fortinet.com/blog/psirt-blogs/analysis-of-threat-actor-activity

---

add 15.04.2025 - 4Tinu | Microsoft Copilot hat mir geholfen

Vulnerabilities

OpenSSL - CVE-2025-15467 Problembeschreibung Das Parsen einer CMS AuthEnvelopedData-Nachricht mit absichtlich manipulierten AEAD-Parametern kann einen Stack-Buffer-Overflow auslösen. Ein Stack-Buffer-Overflow kann zu einem Absturz führen, was wiederum einen Denial-of-Service (DoS) verursacht oder potenziell sogar eine Remotecodeausführung ermöglicht. Beim Parsen von CMS AuthEnvelopedData-Strukturen, die AEAD-Verschlüsselungen wie AES-GCM verwenden, wird der im ASN.1-Parameter kodierte IV (Initialisierungsvektor) in einen Stack-Puffer fester Grösse kopiert, ohne zu überprüfen, ob dessen Länge in das Ziel passt. Ein Angreifer kann eine speziell präparierte CMS-Nachricht mit einem zu grossen IV bereitstellen, was zu einem Stack-basierten Schreibzugriff ausserhalb der vorgesehenen Grenzen führt, noch bevor eine Authentifizierung oder Tag-Prüfung stattfindet. Anwendungen und Dienste, die nicht vertrauenswürdige CMS* oder PKCS#7-Inhalte mit AEAD-Verschlüsselungen (z. B. S/MIME AuthEnvelopedData mit AES-GCM) verarbeiten, sind gefährdet. Da der Overflow vor der Authentifizierung auftritt, ist kein gültiges Schlüsselmaterial erforderlich, um ihn auszulösen. Die Ausnutzbarkeit zur Remotecodeausführung hängt zwar von Plattform* und Toolchain-Schutzmechanismen ab, aber der Stack-basierte Schreibzugriff stellt ein erhebliches Risiko dar. Die FIPS-Module in den Versionen 3.6, 3.5, 3.4, 3.3 und 3.0 sind von diesem Problem nicht betroffen, da die CMS-Implementierung ausserhalb des OpenssL-FIPS-Moduls liegt. OpenssL 3.6, 3.5, 3.4, 3.3 und 3.0 sind jedoch anfällig für dieses Problem. OpenssL 1.1.1 und 1.0.2 sind davon nicht betroffen. Fortinet PSIRT untersucht derzeit die Auswirkungen dieses CVE auf die Fortinet-Produkte. betroffen.. Bedrohungslevel: Severity : Critical Die Bedrohung wird mit einem CVssv3 Score von 9.8 eingestuft! Nicht Betroffene Systeme (Stand 25.03.2026) FortiAP FortiWeb FortiVoice FortiTester FortiSwitch FortiSandbox FortiSOAR FortiSIEM FortiRecorder FortiPortal FortiOS FortiNAC-F FortiNAC FortiManager FortiMail FortiExtender FortiDDoS FortiConverter FortiCloud FortiClient Windows FortiClient MacOS FortiClient Linux FortiAuthenticator FortiAnalyzer FortiAP-W2 FortiAP-U FortiClient iOS FortiClient Android FortiClient EMS FortiWebManager FortiADC FortiADC Manager FortiProxy Weitere Informationen findet man unter folgenden externen Artikeln: PSIRT FortiGuard: https://fortiguard.fortinet.com/psirt/FG-IR-26-076 Shift + Linke Maustaste CVE Informationen https://www.cve.org/CVERecord?id=CVE-2025-15467Shift + Linke Maustaste Weitere Referenzen: https://www.openwall.com/lists/oss-security/2026/01/27/10 Shift + Linke Maustaste https://nvd.nist.gov/vuln/detail/CVE-2025-15467 Shift + Linke Maustaste edit 25.03.2026 * 4Tinu

---

Administrative FortiCloud SSO authentication bypass - FG-IR-26-060 Problembeschreibung Eine Schwachstelle vom Typ „Authentication Bypass Using an Alternate Path or Channel“ [CWE-288] in FortiOS, FortiManager, FortiAnalyzer, FortiProxy und FortiWeb kann es einem Angreifer mit einem FortiCloud-Konto und einem registrierten Gerät ermöglichen, sich an anderen Geräten anzumelden, die bei anderen Konten registriert sind, sofern auf diesen Geräten die FortiCloud SSO-Authentifizierung aktiviert ist. Bitte beachte, dass die FortiCloud SSO-Anmeldefunktion in den Werkseinstellungen standardmässig deaktiviert ist. Wenn Du jedoch das Gerät über die Geräteeinstellungen bei FortiCare registrierst, wird FortiCloud SSO für die Anmeldung aktiviert, sofern Du beim Registrierungsprozess die Option Allow administrative login using FortiCloud SSO nicht deaktivierst. Diese Schwachstelle wurde bereits aktiv ausgenutzt: Zwei böswillige FortiCloud-Konten wurden dabei am 22.01.2026 gesperrt. Um weiteren Missbrauch zu verhindern, hat Fortinet am 26.01.2026 die FortiCloud SSO-Funktion serverseitig deaktiviert. Am 27.01.2026 wurde sie wieder aktiviert, unterstützt jedoch keine Anmeldungen mehr von Geräten mit verwundbaren Versionen. Du musst daher auf die unten aufgeführten neuesten Versionen aktualisieren, damit FortiCloud SSO weiterhin genutzt werden kann. FortiManager Cloud, FortiAnalyzer Cloud und FortiGate Cloud sind nicht betroffen. Setups mit einem eigenen IdP für SSO statt FortiCloud sind nicht betroffen (einschliesslich Setups mit FortiAuthenticator als Custom IdP). Bedrohungslevel: Severity : Critical Die Bedrohung wird mit einem CVSSv3 Score von 9.4 eingestuft! Betroffene Systeme: FortiAnalyzer FortiAnalyzer 7.6 : 7.6.0 - 7.6.5 FortiAnalyzer 7.4 : 7.4.0 - 7.4.9 FortiAnalyzer 7.2 : 7.2.0 - 7.2.11 FortiAnalyzer 7.0 : 7.0.0 - 7.0.15 FortiAnalyzer 6.4 : 6.4.x ist nicht betroffen FortiManager FortiManager 7.6 : 7.6.0 - 7.6.5 FortiManager 7.4 : 7.4.0 - 7.4.9 FortiManager 7.2 : 7.2.0 - 7.2.11 FortiManager 7.0 : 7.0.0 - 7.0.15 FortiManager 6.4 : 6.4.x ist nicht betroffen FortiGate: FortiOS 8.0 : 8.0.x ist nicht betroffen FortiOS 7.6 : 7.6.0 - 7.6.5 FortiOS 7.4 : 7.4.0 - 7.4.10 FortiOS 7.2 : 7.2.0 - 7.2.12 FortiOS 7.0 : 7.0.0 - 7.0.18 FortiOS 6.4 : 6.4.x ist nicht betroffen FortiProxy: FortiProxy 7.6 : 7.6.0 - 7.6.4 FortiProxy 7.4 : 7.4.0 - 7.4.12 FortiProxy 7.2 : 7.2.x Alle Versionen FortiProxy 7.0 : 7.0.x Alle Versionen FortiWeb: FortiWeb 8.0 : 8.0.0 - 8.0.3 FortiWeb 7.6 : 7.6.0 - 7.6.6 FortiWeb 7.4 : 7.4.0 - 7.6.6 FortiWeb 7.2 : 7.2.x ist nicht betroffen FortiWeb 7.0 : 7.0.x ist nicht betroffen FortiSwitch Manager: Dieses Produkt wird noch untersucht ob es auch betroffen ist. Lösung: Auf folgende Versionen upgraden, damit die Sicherheitslücke geschlossen wird. FortiAnalyzer FortiAnalyzer 7.6 : upgraden auf 7.6.6 Version bald verfügbar - Stand 29.01.2026 FortiAnalyzer 7.4 : upgraden auf 7.4.10 oder höher FortiAnalyzer 7.2 : upgraden auf 7.2.12 Version bald verfügbar - Stand 29.01.2026 FortiAnalyzer 7.0 : upgraden auf 7.0.16 Version bald verfügbar - Stand 29.01.2026 FortiManager FortiManager 7.6 : upgraden auf 7.6.6 Version bald verfügbar - Stand 29.01.2026 FortiManager 7.4 : upgraden auf 7.4.10 oder höher FortiManager 7.2 : upgraden auf 7.2.13 Version bald verfügbar - Stand 29.01.2026 FortiManager 7.0 : upgraden auf 7.0.16 Version bald verfügbar - Stand 29.01.2026 FortiGate: FortiOS 7.6 : upgraden auf 7.6.6 oder höher FortiOS 7.4 : upgraden auf 7.4.11 oder höher FortiOS 7.2 : upgraden auf 7.2.13 oder höher FortiOS 7.0 : upgraden auf Version bald verfügbar - Stand 30.01.2026 FortiProxy: FortiProxy 7.6 : upgraden auf 7.6.6 Version bald verfügbar - Stand 29.01.2026 FortiProxy 7.4 : upgraden auf 7.4.13 Version bald verfügbar - Stand 29.01.2026 FortiProxy 7.2 : upgraden auf 7.2.x migrieren auf eine Supportete Version (7.6.6 oder 7.4.13) FortiProxy 7.0 : upgraden auf 7.0.x migrieren auf eine Supportete Version (7.6.6 oder 7.4.13) FortiWeb: FortiWeb 8.0 : upgraden auf 8.0.4 Version bald verfügbar - Stand 29.01.2026 FortiWeb 7.6 : upgraden auf 7.6.7 Version bald verfügbar - Stand 29.01.2026 FortiWeb 7.4 : upgraden auf 7.4.12 Version bald verfügbar - Stand 29.01.2026 Weitere Massnahmen und Workaround: Die FortiCloud SSO-Authentifizierung unterstützt keine Anmeldungen mehr von Geräten mit verwundbaren Versionen. Daher ist es derzeit nicht notwendig, die FortiCloud SSO-Anmeldung auf der Client-Seite zu deaktivieren. Zur Referenz kann dies dennoch wie folgt durchgeführt werden: Bei FortiOS und FortiProxy: Konfiguration über das WebGui: Zum Deaktivieren der FortiCloud-Login-Funktion navigierst Du zu: System → Settings →Allow administrative login using FortiCloud SSO Option deaktivieren. Konfiguration über die CLI: config system global set admin-forticloud-sso-login disable end Beim FortiManager oder FortiAnalyzer: Konfiguration über das WebGui: Zum Deaktivieren der FortiCloud-Login-Funktion navigierst Du zu: System Settings → SAML SSO →Allow admins to login with FortiCloud Option deaktivieren. Konfiguration über die CLI: config system saml set forticloud-sso disable end Idicators of Compromise SSO-Login-Benutzerkonten: Der Angreifer wurde dabei beobachtet, sich mit den folgenden Benutzerkonten anzumelden: cloud-noc@mail.io cloud-init@mail.io Fortinet geht davon aus, dass sich diese Adressen in Zukunft ändern könnten, da Massnahmen ergriffen wurden, um diese Konten zu neutralisieren. IP-Adressen: Der Angreifer wurde beobachtet, wie er sich über mehrere IP-Adressen angemeldet hat und offenbar auf durch Cloudflare geschützte IPs gewechselt ist: 104.28.244.115 104.28.212.114 104.28.212.115 104.28.195.105 104.28.195.106 104.28.227.106 104.28.227.105 104.28.244.114 Adressen die nicht von Fortinet sondern von Drittpersonen beobachtet wurden: 37[.]1.209.19 217[.]119.139.50 Bösartige Erstellung lokaler Konten: Nach der Authentifizierung via SSO wurde beobachtet, dass der Angreifer ein lokales Administratorkonto mit einem der folgenden Namen erstellt. Diese Namen haben sich im Verlauf der Analyse geändert. Daher empfiehlt Fortinet, alle Administratorkonten zu überprüfen, um unerwartete Einträge zu identifizieren: audit backup itadmin secadmin support backupadmin deploy itadmin remoteadmin security svcadmin system In diesem Wiki Artikel wird erklärt, wie man eine Email bekommt, wenn eine Konfigurationsänderung vorgenommen wird. Wie richte ich einen Automation Stitch für Konfigurations-Änderungen ein? Shift + Linke Maustaste Hauptoperationen des Angreifers: Herunterladen der Kunden-Konfigurationsdatei Hinzufügen eines Administratorkontos zur Erhaltung des Zugriffs (Persistenz) Weitere Informationen findet man unter folgenden externen Artikeln: PSIRT - FortiGuard: https://www.fortiguard.com/psirt/FG-IR-26-060 Shift + Linke Maustaste https://www.fortinet.com/blog/psirt-blogs/analysis-of-sso-abuse-on-fortios Shift + Linke Maustaste CVE Informationen https://www.cve.org/CVERecord?id=CVE-2026-24858Shift + Linke Maustaste Heise.de: https://www.heise.de/news/Fortinet-kaempft-weiter-gegen-laufende-SSO-Admin-Attacken-11156437.htmlShift + Linke Maustaste edit 30.01.2026 - 4Tinu

---

Heap-based buffer overflow in cw_acd daemon - FG-IR-25-084 Problembeschreibung Eine heap-basierte Pufferüberlauf-Schwachstelle [CWE-122] in FortiOS und FortiSwitchManager cw_acd Daemon kann es einem remoten, nicht authentifizierten Angreifer ermöglichen, beliebigen Code oder Befehle über speziell erstellte Anfragen auszuführen. Das Vorhandensein von Sicherheitskontrollen wie ASLR und PIE erhöht die Komplexität und den Vorbereitungsaufwand für die Ausnutzung erheblich. Bedrohungslevel: Severity : High Die Bedrohung wird mit einem CVSSv3 Score von 7.4 eingestuft! Betroffene Systeme: FortiGate: FortiOS 7.6.0 - 7.6.3 FortiOS 7.4.0 - 7.4.8 FortiOS 7.2.0 - 7.2.11 FortiOS 7.0.0 - 7.0.17 FortiOS 6.4.0 - 6.4.16 FortiSwitchManager:/ FortiSwitchManager 7.2.0 bis 7.2.6 FortiSwitchManager 7.0.0 bis 7.0.5 Lösung: Auf folgende Versionen upgraden, damit die Sicherheitslücke geschlossen wird. FortiGate: FortiOS 7.6.4 oder höher FortiOS 7.4.9 oder höher FortiOS 7.2.12 oder höher FortiOS 7.0.18 oder höher FortiOS 6.4.17 (wird folgen) FortiSwitchManager:/ FortiSwitchManager 7.2.7 oder höher FortiSwitchManager 7.0.6 oder höher Weitere Massnahmen und Workaround: Bei jedem Interface den fabric Zugriff entfehrnen. Beispiel Konfiguration: Ausgangslage: config system interface edit "port1" set allowaccess fabric ssh https next end ändern zu: config system interface edit "port1" set allowaccess ssh https next end eine Weitere Massnahme ist es den zum CAPWAP Daemon verweigern. Für jedes interface mit dem fabric service, mit einer Localin Policy die CAPWAP-CONTROL Ports (udp 5246 - 5249) blockieren. Beispiel: config firewall service custom edit "CAPWAP-CONTROL" set udp-portrange 5246-5249 next end config firewall addrgrp edit "CAPWAP_DEVICES_IPs" set member "my_allowed_addresses" <-- IP adressen welche erlaubt sind end config firewall local-in-policy edit 1 <-- Regel welche den Zugriff erlaubt. set intf "port1" <-- Interfaces bei welchem fabric aktiviert ist set srcaddr "CAPWAP_DEVICES_IPs" set dstaddr "all" set service "CAPWAP-CONTROL" set schedule "always" set action accept next edit 2 <-- Regel welche alle anderen Interfaces blockiert mit dem set intf "any" set srcaddr "all' set dstaddr "all" set service "CAPWAP-CONTROL" set schedule "always" set action deny next end Weitere Informationen findet man unter folgenden externen Artikeln: PSIRT - FortiGuard: https://www.fortiguard.com/psirt/FG-IR-25-084 Shift + Linke Maustaste CVE Informationen https://www.cvedetails.com/cve/CVE-2025-25249/Shift + Linke Maustaste add 21.01.2026 - 4Tinu

---

Multiple Fortinet Products FortiCloud SSO Login Authentication Bypass - CVE-2025-59718 und CVE-2025-59719 Problembeschreibung Eine Schwachstelle aufgrund unzureichender Verifizierung kryptographischer Signaturen (CWE-347) in FortiOS, FortiWeb, FortiProxy und FortiSwitchManager kann es einem nicht authentifizierten Angreifer ermöglichen, die FortiCloud-SSO-Login-Authentifizierung durch eine manipulierte SAML-Nachricht zu umgehen, sofern diese Funktion auf Deinem Gerät aktiviert ist. Bedrohungslevel: Severity : Critical Die Bedrohung wird mit einem CVSSv3 Score von 9.1 eingestuft! Betroffene Systeme: FortiGate: FortiOS 7.6.0 - 7.6.4 FortiOS 7.4.0 - 7.4.8 FortiOS 7.2.0 - 7.2.11 FortiOS 7.0.0 - 7.0.17 FortiOS 6.4.x ist nicht betroffen FortiProxy: FortiProxy 7.6.0 bis 7.6.3 FortiProxy 7.4.0 bis 7.4.10 FortiProxy 7.2.0 bis 7.2.14 FortiProxy 7.0.0 bis 7.0.21 FortiWeb: FortiWeb 8.0.0 FortiWeb 7.6.0 bis 7.6.4 FortiWeb 7.4.0 bis 7.4.9 FortiWeb 7.2.x ist nicht betroffen FortiWeb 7.0.x ist nicht betroffen FortiSwitchManager:/ FortiSwitchManager 7.2.0 bis 7.2.6 FortiSwitchManager 7.0.0 bis 7.0.5 Lösung: Auf folgende Versionen upgraden, damit die Sicherheitslücke geschlossen wird. FortiGate: FortiOS 7.6.4 oder höher FortiOS 7.4.9 oder höher FortiOS 7.2.12 oder höher FortiOS 7.0.18 oder höher FortiProxy: FortiProxy 7.6.4 oder höher FortiProxy 7.4.11 oder höher FortiProxy 7.2.15 oder höher FortiProxy 7.0.22 oder höher FortiWeb: FortiWeb 8.0.1 oder höher FortiWeb 7.6.5 oder höher FortiWeb 7.4.10 oder höher FortiSwitchManager:/ FortiSwitchManager 7.2.7 oder höher FortiSwitchManager 7.0.6 oder höher Weitere Massnahmen und Workaround: Um zu verhindern, dass betroffene Versionen durch diese Schwachstelle ausgenutzt werden, solltest Du die FortiCloud-Login-Funktion (falls aktiviert) vorübergehend deaktivieren, bis ein Upgrade auf eine nicht betroffene Version durchgeführt wurde. Konfiguration über das WebGui: Zum Deaktivieren der FortiCloud-Login-Funktion navigierst Du zu: System → Settings →Allow administrative login using FortiCloud SSO Option deaktivieren. Konfiguration über die CLI: config system global set admin-forticloud-sso-login disable end https://community.fortinet.com/t5/FortiGate/Technical-Tip-Understanding-the-FortiOS-critical-vulnerability/ta-p/426944 Beachte, die FortiCloud-SSO-Login-Funktion ist per Default deaktiviert. Registrierst Du jedoch ein Gerät über die GUI bei FortiCare, wird FortiCloud SSO nach der Registrierung automatisch aktiviert. Weitere Informationen findet man unter folgenden externen Artikeln: PSIRT - FortiGuard: https://fortiguard.fortinet.com/psirt/FG-IR-25-647 Shift + Linke Maustaste CVE Informationen https://www.cve.org/CVERecord?id=CVE-2025-59718 Shift + Linke Maustaste https://www.cve.org/CVERecord?id=CVE-2025-59719 Shift + Linke Maustaste NIST: https://nvd.nist.gov/vuln/detail/CVE-2025-59718 Shift + Linke Maustaste https://nvd.nist.gov/vuln/detail/CVE-2025-59719 Shift + Linke Maustaste add 10.12.2025 - 4Tinu

---

FortiWeb - Path confusion vulnerability in GUI - CVE-2025-64446 Problembeschreibung: Eine Schwachstelle zur Pfadmanipulation durch relative Pfadangaben (CWE-23) in FortiWeb kann einem nicht authentifizierten Angreifer ermöglichen, administrative Befehle auf dem System auszuführen, indem er speziell präparierte HTTP- oder HTTPS-Anfragen sendet. Bedrohungslevel: Severity Critical Die Bedrohung wird mit einem CVSSv3 Score von 9.4 eingestuft! Betroffene Systeme: FortiWeb 8.0 OS Version 8.0.0 bis 8.0.1 FortiWeb 7.6 OS Version 7.6.0 bis 7.6.4 FortiWeb 7.4 OS Version 7.4.0 bis 7.4.9 FortiWeb 7.2 OS Version 7.2.0 bis 7.2.11 FortiWeb 7.0 OS Version 7.0.0 bis 7.0.11 Wenn das HTTP/HTTPS-Managementinterface gemäss Best Practices nur intern zugänglich ist, ist das Risiko einer Kompromittierung deutlich reduziert. Lösung: Auf folgende Versionen kann upgedatet werden, damit diese Sicherheitslücke geschlossen wird: FortiWeb 8.0 upgraden auf 8.0.2 oder höher FortiWeb 7.6 upgraden auf 7.6.5 oder höher FortiWeb 7.4 upgraden auf 7.4.10 oder höher FortiWeb 7.2 upgraden auf 7.2.12 oder höher FortiWeb 7.0 upgraden auf 7.0.12 oder höher Weitere Massnahmen und Workaround: Bei den externen Management Interfaces HTTP und HTTPS Management Dienst deaktivieren. Zugriff auf bekannte und vertrauenswürdige Sourcen limitieren Es wird empfohlen, dass Du Deine Konfiguration überprüfst und die Logs auf unerwartete Änderungen oder das Anlegen nicht autorisierter Administratorkonten kontrollierst. Indicators of Compromise (Stand 18.11.2025) Bekannte Angreifer IP Adressen: 107.152.41.19 144.31.1.63 89.169.55.168 185.192.70.33 185.192.70.53 185.192.70.43 185.192.70.25 185.192.70.36 185.192.70.49 185.192.70.39 185.192.70.57 185.192.70.50 185.192.70.46 185.192.70.31 64.95.13.8 Siehe: Integrity360 Shift + Linke Maustaste Die Angreifer haben folgende Zugangsdaten verwendet: Testpoint - AFodIUU3Sszp5 trader1 - 3eMIXX43 trader - 3eMIXX43 test1234point - AFT3$tH4ck Testpoint - AFT3$tH4ck Testpoint - AFT3$tH4ckmet0d4yaga!n Siehe: Hacker News Shift + Linke Maustaste Weitere Informationen findet man unter folgenden externen Artikeln: PSIRT - FortiGuard: https://fortiguard.fortinet.com/psirt/FG-IR-25-910 Shift + Linke Maustaste https://www.fortinet.com/blog/psirt-blogs/analysis-of-sso-abuse-on-fortiosShift + Linke Maustaste CVE Informationen https://www.cve.org/CVERecord?id=CVE-2025-64446 Shift + Linke Maustaste Articwolf: https://arcticwolf.com/resources/blog/cve-2025-64446/ Shift + Linke Maustaste BSI - Deutschland: Warnung BSI Shift + Linke Maustaste The Hacker News: Hacker News Shift + Linke Maustaste edit 10.12.2025 - 4Tinu

---

Authentication bypass in Node.js websocket module - CVE-2024-55591 Problembeschreibung: Eine gezielte Kampagne auf Fortinet FortiGate-Firewalls mit exponierten(externe) Managementinterfaces wurde identifiziert. Bedrohungsakteure erlangten unbefugten administrativen Zugriff, indem sie neue Benutzerkonten erstellten, SSL-VPN-Zugriffe konfigurierten und laterale Bewegungen innerhalb des Netzwerks durchführten. Der initiale Zugriffspfad ist bislang nicht bestätigt; es wird jedoch eine Zero-Day-Schwachstelle vermutet. Auswirkung: Eine erfolgreiche Ausnutzung ermöglicht unautorisierte Konfigurationsänderungen, einschliesslich der Erstellung von gefälschten Administratorkonten und SSL-VPN-Zugängen, was potenziell zur vollständigen Kompromittierung des Systems führen kann. Bedrohungslevel: Severity Critical Die Bedrohung wird mit einem CVSSv3 Score von 9.6 eingestuft! Betroffene Systeme: FortiGate mit FortiOS 7.0.0 - 7.0.16 FortiProxy mit ProxyOS 7.2.0 - 7.2.12 FortiProxy mit ProxyOS 7.0.0 - 7.0.19 Folgende FortiOS Versionen sind nicht betroffen: FortiOS 7.2.x FortiOS 7.4.x FortiOS 7.6.x Lösung: Auf folgende Versionen kann upgedatet werden, damit diese Sicherheitslücke geschlossen wird: Upgraden der FortiGate auf die Version 7.0.17 oder höher ⇒ (Das FortiOS 7.0.17 wurde am 14.1.2025 ausgerollt.) Upgraden vom FortiProxy auf die Version 7.2.13 oder höher Upgraden vom FortiProxy auf die Version 7.0.20 oder höher Weitere Massnahmen und Workaround: Bei den externen Management Interfaces HTTP und HTTPS Management Dienst deaktivieren. Zugriff auf bekannte und vertrauenswürdige Sourcen limitieren : Wie kann ich den Adminzugang auf dem externen Interface einschränken? Shift + Linke Maustaste Weitere Informationen findet man unter folgenden externen Artikeln: PSIRT - FortiGuard: https://www.fortiguard.com/psirt/FG-IR-24-535 Shift + Linke Maustaste CVE Informationen https://www.cve.org/CVERecord?id=CVE-2024-55591 Shift + Linke Maustaste Articwolf: https://arcticwolf.com/resources/blog/console-chaos-targets-fortinet-fortigate-firewalls/ Shift + Linke Maustaste BSI - Deutschland: Warnung BSI Shift + Linke Maustaste edit 15.01.2025 - 4Tinu

---

FortiManager Missing authentication in fgfmsd - CVE-2024-47575 Problembeschreibung: Eine fehlende Authentifizierung für eine kritische Funktion [CWE-306] im FortiManager fgfmd Daemon kann es einem entfernten, nicht authentifizierten Angreifer mit einem gültigen Fortinet-Zertifikat, das von einem Fortinet-Gerät oder einer VM extrahiert wurde, ermöglichen, beliebigen Code oder Befehle über speziell gestaltete Anfragen auszuführen. Auswirkung: Unautorisierte Ausführung von Code oder Befehlen Details: Ein entfernter, nicht authentifizierter Angreifer kann Berechtigungen umgehen und unautorisierte Befehle ausführen, was den Download von FortiManager-Konfigurationen ermöglichen kann, einschliesslich derjenigen der verwalteten FortiGate-Geräte. FG-IR: FG-IR-24-423 Bedrohungslevel: Severity Critical Die Bedrohung wird mit einem CVSSv3 Score von 9.8 eingestuft! Betroffene Systeme: FortiManager 7.6.0 und älter FortiManager 7.4.0 bis 7.4.4 FortiManager 7.2.0 bis 7.2.7 FortiManager 7.0.0 bis 7.0.12 FortiManager 6.4.0 bis 6.4.14 FortiManager 6.2.0 bis 6.2.12 FortiManager Cloud 7.6 ist nicht betroffen FortiManager Cloud 7.4.1 bis 7.4.4 FortiManager Cloud 7.2.1 bis 7.2.7 FortiManager Cloud 7.0.1 bis 7.0.12 FortiManager Cloud 6.4 sind alle Versionen betroffen Lösung: Auf folgende Versionen kann upgedatet werden, damit diese Sicherheitslücke geschlossen wird: Upgraden auf die FortiManager Version 7.6 upgraden auf die Version 7.6.1 oder höher → Release Notes auf dem Wiki Upgraden auf die FortiManager Version 7.4 upgraden auf die Version 7.4.5 oder höher → Release Notes auf dem Wiki Upgraden auf die FortiManager Version 7.2 upgraden auf die Version 7.2.8 oder höher → Release Notes auf dem Wiki Upgraden auf die FortiManager Version 7.0 upgraden auf die Version 7.0.13 oder höher → Release Notes auf dem Wiki Upgraden auf die FortiManager Version 6.4 upgraden auf die Version 6.4.15 oder höher → Release Notes auf dem Wiki Upgraden auf die FortiManager Version 6.2 upgraden auf die Version 6.2.13 oder höher → Release Notes auf dem Wiki Upgraden auf die FortiManager Cloud Version 7.4 upgraden auf die Version 7.4.5 oder höher Upgraden auf die FortiManager Cloud Version 7.2 upgraden auf die Version 7.2.5 oder höher Upgraden auf die FortiManager Cloud Version 7.0 upgraden auf die Version 7.0.5 oder höher Upgraden auf die FortiManager Cloud Version 6.4 auf eine höhere GA Version upgraden/migrieren Die alten FortiAnalyzer-Modelle 1000E 1000F 2000E 3000E 3000F 3000G 3500E 3500F 3500G 3700F 3700G 3900E mit der folgenden aktivierten Funktion (FortiManager auf FortiAnalyzer): Konfiguration über die CLI: config system global set fmg-status enable end Ebenfalls ist mindestens ein Interface mit aktiviertem fgfm-Dienst von dieser Sicherheitslücke betroffen. Workarounds: Massnahme 1: Auf dem FortiManager der Versionen <=7.0.12, <=7.2.5 oder <=7.4.3 (ausser 7.6.0) kann mit folgender Konfiguration verhindert werden, dass unbekannte Geräte sich versuchen zu registrieren: Konfiguration über die CLI: config system global set fgfm-deny-unknown enable end Wenn du diese Einstellung aktivierst, verhindert FortiManager, dass sich ein FortiGate-Gerät registriert, falls dessen Seriennummer nicht in der Geräteliste hinterlegt ist, selbst wenn das Modellgerät und der vorab geteilte Schlüssel (PSK) übereinstimmen. Massnahme 2: Für alle FortiManager ab der Version 7.2.0 kannst du Abhilfemassnahmen ergreifen, indem du lokale Firewallregeln (Local-In-Regeln) erstellst. Damit kannst du die IP-Adressen der FortiGate-Geräte, welche eine Verbindung herstellen dürfen, auf eine Freigabeliste zu setzen. Alternativ kannst du dies auch über einer externen Firewall welche vor dem FortiManager platziert ist, im Regelset konfigurieren. Um eine lokale Firewallregel auf dem FortiManager zu konfigurieren, die Verbindungen von einem bekannten Subnetz, z. B. 198.18.250.0/24 (Verwaltungsnetzwerk), sowie der spezifischen IP-Adresse 10.250.17.2 (FortiGate-Gerät) zulässt, verwende folgende Regeln: Konfiguration über die CLI: config system local-in-policy edit 1 set action accept set src 198.18.250.0/24 set dport 443 <--- WebGui Adminport next edit 2 set action accept set src 198.18.250.0/24 set dport 22 <--- SSH Adminport next edit 3 set action accept set src 10.250.17.2/32 set dport 541 <--- Erlaube nur TCP/541 von bekannten FortiGate-IP-Adressen. next edit 4 next end Es ist wichtig zu beachten, dass die Regel 4 im Beispiel alle Einstellungen auf "Standard" hat. Dadurch wird diese zu einer expliziten Drop-Regel, die den Zugriff von allen anderen IP-Adressen blockiert. Weitere Informationen betreffend Local-In-Regeln auf dem FortiManager findet man im CLI Guide: https://docs.fortinet.com/document/fortimanager/7.6.0/cli-reference/68140/local-in-policy Massnahme 3: Für Versionen 7.2.2 und höher, 7.4.0 und höher, 7.6.0 und höher ist es auch möglich, ein benutzerdefiniertes Zertifikat zu verwenden, um die Sicherheitslücke zu beheben: Konfiguration über die CLI: config system global set fgfm-ca-cert <Zertifikat> set fgfm-cert-exclusive enable end Installiere dieses Zertifikat auf den FortiGate-Geräten. Nur dieses CA-Zertifikat wird akzeptiert. Dies bietet einen zusätzlichen Schutz, sofern der Angreifer kein Zertifikat erhält, das von dieser CA signiert wurde. Für FortiManager-Versionen 6.2, 6.4 und 7.0.11 und darunter, führe bitte ein Upgrade auf eine der oben genannten Versionen durch und wende die entsprechenden Workarounds an. Weitere Informationen findet man unter folgenden externen Artikeln: PSIRT - FortiGuard: https://fortiguard.fortinet.com/psirt/FG-IR-24-423 Shift + Linke Maustaste Informationen CVE-2024-47575 https://www.cve.org/CVERecord?id=CVE-2024-47575 Shift + Linke Maustaste Informationen auf Heise.de: https://www.heise.de/news/FortiManager-Update-schliesst-offenbar-bereits-attackierte-Sicherheitsluecke-9990393.html Shift + Linke Maustaste Google: https://cloud.google.com/blog/topics/threat-intelligence/fortimanager-zero-day-exploitation-cve-2024-47575/?hl=en Shift + Linke Maustaste add 14.10.2024 - 4Tinu

Sicherheitsluecke Heap buffer overflow in sslvpn pre-authentication - CVE-2023-27997 Problembeschreibung: Eine neue kritische Sicherheitslücke, die derzeit noch nicht öffentlich bekannt ist, betrifft Fortinets Fortigate-Firewalls, genauer gesagt die SSL-VPN-Funktionen. Die Sicherheitslücke ermöglicht es auf allen FortiGate mit aktivem SSL-VPN sich ohne Authentifizierung diese Schwachstelle auszunutzen. Bedrohungslevel: Der Schweregrad der Sicherheitslücke wird mit 9.3 !! eingestuft Betroffene Systeme: FortiOS Versionen: FortiOS Version 7.2.0 bis 7.2.4 FortiOS Version 7.0.0 bis 7.0.11 FortiOS Version 6.4.0 bis 6.4.12 FortiOS Version 6.0.0 bis 6.0.16 Das FortiOS 7.4.0 ist nicht betroffen. FortiProxy Versionen: FortiProxy Version 7.2.0 bis 7.2.3 FortiProxy Version 7.0.0 bis 7.0.9 FortiProxy Version 2.0.0 bis 2.0.12 FortiProxy 1.2 alle Versionen FortiProxy 1.1 alle Versionen FortiOS-6K7K Versionen: FortiOS-6K7K Version 7.0.10 FortiOS-6K7K Version 7.0.5 FortiOS-6K7K Version 6.4.12 FortiOS-6K7K Version 6.4.10 FortiOS-6K7K Version 6.4.8 FortiOS-6K7K Version 6.4.6 FortiOS-6K7K Version 6.4.2 FortiOS-6K7K Version 6.2.9 bis 6.2.13 FortiOS-6K7K Version 6.2.6 bis 6.2.7 FortiOS-6K7K Version 6.2.4 FortiOS-6K7K Version 6.0.12 bis 6.0.16 FortiOS-6K7K Version 6.0.10 Liste wurde von hier entnommen: Workaround: Das SSL-VPN auf der FortiGate deaktivieren, bis das Gerät auf einer der unter Lösung aufgeführten FortiOS Versionen, upgedatet werden kann. Lösung: Um die Sicherheitslücke im betroffenen FortiOS zu schliessen auf einer der folgenden FortiOS Versionen updaten. FortiOS 7.2.5 -> ReleaseNotes 7.2.5 7.0.12 -> ReleaseNotes 7.0.12 6.4.13 -> ReleaseNotes 6.4.13 6.2.15 -> ReleaseNotes 6.2.15 6.0.17 -> ReleaseNotes 6.0.17EoS FortiProxy FortiProxy 7.2.4 oder höher -> ReleaseNotes 7.2.4 FortiProxy 7.0.10 oder höher -> ReleaseNotes 7.0.10 FortiProxy 2.0.13 oder höher -> Momentan keine Release Notes für die 2.0.13 Version auf den Docs FortiOS-6K7K FortiOS-6K7K 7.0.12 oder höher -> Momentan keine Release Notes für die 7.0.12 Version auf den Docs FortiOS-6K7K 6.4.13 oder höher -> Momentan keine Release Notes für die 6.4.13 Version auf den Docs FortiOS-6K7K 6.2.15 oder höher -> Momentan keine Release Notes für die 6.2.15 Version auf den Docs FortiOS-6K7K 6.0.17 oder höher -> Momentan keine Release Notes für die 6.0.17 Version auf den Docs Weitere empfohlene Massnahmen: Neben der Überwachung von Sicherheitshinweisen und dem sofortigen Patchen von Systemen empfiehlt Fortinet dringend Folgendes: Überprüfen der Systeme auf Hinweise auf die Ausnutzung früherer Schwachstellen, z.B. FG-IR-22-377 / CVE-2022-40684 Achte auf eine eine gute Cyber-Hygiene und befolge die Patching-Empfehlungen der Hersteller. Befolge die Hardering Empfehlung wie solche vom FortiOS Hardening Guide Datei:FortiGate-BestPractices-62.pdf 6.2.13 Datei:FortiGate-BestPractices-64.pdf Datei:FortiGate-BestPractices-70.pdf 7.0.11 Datei:FortiGate-BestPractices-72.pdf 7.2.5 Datei:FortiGate-BestPractices-74.pdf 7.4.0 Datei:FortiGate-Hardening-60.pdf Datei:FortiGate-Hardening-64.pdf Minimiere die Angriffsfläche, indem ungenutzte Funktionen deaktivieren werden. (zum Beispiel das SSL-VPN) Benutze ein Out of Band Netz für das Managen der Geräte. (Dediziertes Management Netz, welches von allen anderen Netzen abgeschotet ist) Weitere Informationen findet man unter folgenden externen Artikeln: Heise DE: https://www.heise.de/news/Fortinet-SSL-VPN-Luecke-ermoeglicht-Codeschmuggel-9184284.html PSIRT - FortiGuard: https://www.fortiguard.com/psirt/FG-IR-23-097 https://www.fortinet.com/blog/psirt-blogs/analysis-of-cve-2023-27997-and-clarifications-on-volt-typhoon-campaign CVE: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-27997 https://www.cve.org/CVERecord?id=CVE-2023-27997 edit 22.05.2025 - 4Tinu

Support Alert

Was ist die Fortinet Support Bulletin Anouncing Page?

Fortinet Support Bulletin Announcing Page ist eine Seite in der Fortinet von Zeit zu Zeit wichtige Informationen zu BugFixes, Critical Bugs im Zusmmenhang mit dem Support der Fortinet Produkte lanciert:

• https://support.fortinet.com/EndUser/Bulletin.aspx

Support Alert Meldungen

Hier findet man die Support Alert Meldungen welche wir noch ein wenig mit Hintergrund Informationen versuchen zu ergänzen:

FortiOS 7.0.4 Proxy-Modus Applikations Kontrolle - CSB-220207-1 Beschreibung: Beim FortiOS 7.0.4 gibt ein potenzielles Problem mit Applikationscontroll Profile welche im Proxymodus verwendet werden. Dabei werden SSL-insertifizierte Session vorzeitig geschlossen, was zu einem Unterbruch des Datentraffics führt. Das Verhalten wird möglicherweise nicht sofort nach dem Upgrade auf 7.0.4 sichtbar sein. Profile im Flow Modus sind davon nicht betroffen: Betroffene Produkte: FortiGate Betroffene Betriebsysteme FortiOS 7.0.4 Workaround im 7.0.4: Anstatt Proxy basierte Profile momentan Flow basierte Profile benutzen. Wenn das Problem auftritt, kann vorübergehend das starten des Wad-Proxy helfen: diag test application wad 99 Konfiguration über die CLI: diagnose test application wad 99 Lösung: Im FortiOS 7.0.5 ist dieses Problem behoben. Daher empfehlen wir von 7.0.4 auf 7.0.5 upzugraden https://docs.fortinet.com/document/fortigate/7.0.5/fortios-release-notes/289806/resolved-issues Release Notes: Datei:FortiOS-Release-Notes-Version-7.0.5.pdf Vor dem Upgrade ein Backup erstellen : Wie kann ich das Konfigurationsfile von der FortiGate backupen? Quelle: https://support.fortinet.com/Information/Bulletin.aspx Bulletin CSB 220207-1 vom 9.2.2022

Zugriff auf Websites mit SSL-Überprüfung blockiert Es scheint ein anhaltendes Problem mit der Zertifikatskette einer Stammzertifizierungsstelle (ISRG Root X1) zu geben. Dieses Problem betrifft alle Anbieter von SSL-Inspektionsprodukten, unabhängig davon Full-Inspektion oder Zertifikats Inspektion verwendet wird. Dieser Issue wird mit den folgenden FortiOS Releases behoben: FortiOS 6.2.10 FortiOS 6.4.8 Im FortiOS 7.0.3 ist der Bug leider immer noch enthalten. Genaueres findet man in den Release Notes der entsprechenden Versionen unter Know Issues und Resolved Issues Es besteht folgender Workaround (Stand 05.10.21): Das Certificate Bundle (Version 1.28), welches die Expired Certificates ersetzt, ist neu auf FortiGuard erhältlich, und wird im Rahmen geplanter FortiGuard-Updates automatisch heruntergeladen. Um dies zu valideren, ist folgender CLI-Befehl zu verwenden: Konfiguration über die CLI # diagnose autoupdate versions | grep -A5 '^Cert' Certificate Bundle --------- Version: 1.00028 Um das Certificate Bundle manuell upzudaten, ist folgender CLI-Befehl zu verwenden: Konfiguration über die CLI # execute update-now Sobald das Certificate Bundle upgedatet wird, ist der Workaround anwendbar. Um sicherzustellen, dass das Expired Root CA nicht mehr verwendet wird, ist DNS Blackholing notwendig, welches FortiGate den Zugang zu apps.identrust.com blockiert. Folgend ein Beispiel einer möglichen Konfiguration: Konfiguration über die CLI config system dns-database edit "1" set domain "identrust.com" set authoritative disable config dns-entry edit 1 set hostname "apps" set ip 127.0.0.1 next end next end *Hinweis: Sobald apps.identrust.com keine Expired CA Certificates mehr sendet, kann die Konfiguration entfernt werden *Hinweis: Mittels Teil-Befehl "set authoritative disable" werden andere FQDNs (z.B. commercial.ocsp.identrust.com) weiterhin resolved Sobald das oben-erwähnte DNS Blackholing aktiviert wird, können folgende (vorher getätigte) Änderungen wieder rückgängig gemacht werden: 1) Von Proxy zu Flow Inspection 2) Zwischenzeitliches Erlauben von Expired Certificates Mehr Details zu den oberen Schritte findet man unter folgendem Link: https://kb.fortinet.com/kb/documentLink.do?externalID=FD53305 -> "Technical Tip: Expiring Let’s Encrypt Certificates" Wichtig: Falls das Problem weiterhin auftaucht, muss eventuell noch der IPS und WAD Cache gelehrt werden (siehe Details im oben-erwähnten KB-Artikel/Link) Weitere, generelle Informationen findet man unter folgendem Link: https://www.fortinet.com/blog/psirt-blogs/fortinet-and-expiring-lets-encrypt-certificates Danke an Stefanie vom TAC Frankfurt, welche uns diese Information zugestellt hat

FortiAP Wireless Access Point upgrade Issue with HPE PoE Switches - CSB-210127-1 Wenn der Power over Ethernet (PoE)-Switch der Marke Hewlett Packard Enterprise (HPE) während eines Upgrades für mehr als 120 Sekunden keine LLDP-Antwort (Link Layer Discovery Protocol) empfängt, kann er die angeschlossenen FortiAP-Einheiten einseitig zurücksetzen oder ausschalten. Dies kann zum Anhalten des Upgrades auf halbem Weg abbricht und somit zu einem Upgrade-Fehler führen kann. Dieses Problem kann auftreten, wenn ein Upgrade versucht wird von einer beliebigen Software-Version 6.4.2 oder früher. Wenn die FortiAP-Einheit nicht mehr reagiert, wenden Sie sich bitte an den Technischen Support von Fortinet. Es kann ein Problem geben, wenn man einen FortiAP an einem POE-Switch von Hewlett Packard Enterprise (HPE) angeschlossen hat und den FortiAP upgraden will. Das Problem zeigt sich, wenn der FortiAP welcher am upgraden ist, für mehr als 120 Sekunden keine LLPD Antwort ((Link Layer Discovery Protocol)) empfängt. Der FortiAP kann sich einseitig zurück setzen oder wird ausgeschalten. Dies kann zum stop oder Unterbruch des Upgrades führen und generiert so einen Upgrade Fehler. Dieses Problem kann auftreten wenn ein FortiAP von einer x-beliebigen Software bis 6.4.2 einen upgrade durchführt. Falls dieses Problem auftritt und der FortiAP nicht mehr reagiert, kann man sich an den TAC Support von Fortinet wenden. (Ticket mit der Serienummer des betroffenen FortiAP eröffnen. Betroffene Produkte: Alle FortiAP Modelle der Serie E FortiAP 431F und 433F Betroffene OS Versionen: FortiAP-W2 : 6.0 , 6.2, 6.4.0-6.4.2 (Für die E- Serie) FortiAP : 6.4 buld 5760 (für F-Serie 431F und 433F) Workaround Auf den HPE PoE-Switches müssen zuerst die LLDP-Funktion den Ports deaktivieren, auf welchem die FortiAP angeschlossen sind, welche upgegradet werden sollen. Alternativ kann man auch global die LLPD Funktion deaktivieren. gesamten Switch. Konfiguration auf dem HPE Switch: Konfiguration über CLI lldp admin-status <PORT-LIST> txonly | rxonly | tx_rx | disable lldp admin-status <POE Port an welchem der FortiAP angeschlossen ist> disable Referenz: https://techhub.hpe.com/eginfolib/networking/docs/switches/K-KA-KB/15-18/5998-8160_ssw_mcg/content/ch06s12.html Lösung Fortinet löst dieses Problem für FortiAP der Serie E im FortiOS FortiAP-W2 6.4.3 Build 0451 Für die FortiAP 431F und 433F wird es im FortiAP 6.4.3 Build 0155 behoben. Nachdem alle betroffenen FortiAPs erfolgreich auf die Firmware Version 6.4.3 oder höher aktualisiert wurden, kann die LLDP-Funktion auf den Switches wieder aktiviert werden. Customer Support Bulletin CSB-210127-1 vom 27.Januar 2021

Fortinet Announced neue MAC-Adressen für AccessPoints (FAP)?

Bis anhin hat Fortinet Access Points ausgeliefert basierend auf der MAC Adresse "00:09:0F" (Stand April 2013). Diese MAC Adresse ist direkt verknüpft mit der FortiOS Software auf de Access Points für vers. Funktionen. Nun aus nicht bekannten Gründen werden neu ausgelieferte Fortinet Access Points mit der MAC Adresse "08:5B:0E" ausgeliefert. Dies kann (muss nicht) zu Problemen führen im Betrieb da wie schon erwähnt die MAC Adresse mit dem FortiOS verknüpft ist. Um diese Probleme zu verhindern ist zu beachten mind. FortiOS 5.0.3 auf den Access Points einzusetzen da in diesem Patch Release dem Umstand der neuen MAC Adresse Rechnung getragen wird. Wenn dem nicht Rechnung getragen wird dh. neue MAC Adresse mit FortiOS 5.0.2 auf den Access Points betrieben wird kann dies zu Problemen führen. Nachfolgendes Dokument wurde von Fortinet betreffend diesem Umstand als "Customer Support Bulletin" herausgegeben:

       Datei:CSB-130403-1-FortiAP-MAC-Addresses.pdf

Wir bitten allen Kunden zukünftig auf den Access Points mind. FortiOS 5.0.3 einzusetzen. Wenn die Access Points im Zusammenhang mit FortiGate FortiOS 4 MR3 eingesetzt werden siehe folgender Artikel:

       FortiAP:FAQ#Welche_Firmware_sollte_auf_einer_FortiGate_und.2Foder_FortiAP_benutzt_werden.3F

Fortinet zieht FortiGate FortiOS 4.3 Patch 13 zurück?

Fortinet hat am 7. May 2013 die neue Firmware für FortiGate's FortiOS 4 MR3 Patch13 zur Verfügung gestellt und hat diese am gleichen Tag zurückgezogen. Probleme gab es im IPSec Bereich (Phase 2) durch die Definition eines Subnets. Als Workaround kann in der Phase2 der Selektor die IP als Bereich definiert werden zB. 192.168.1.1-192.168.1.255. Ist der Selektor als IP in der Form 192.168.1.0/24 definiert kommt es zu Problemen. Weitere Informationen im offiziellen "Customer Support Bulletin" von Fortinet:

       Datei:CSB-130507-1-FortiOS-IPSec-VPN.pdf

Wir bitten alle Kunden diese Release nicht zu benutzen und falls bereits angewendet ein Rollback durchzuführen oder als letzte Möglichkeit den Workaround anzuwenden!

       NOTE Am 17. Mai 2013 wurde Patch 14 Released. In diesem Release wurde der Fehler
            korrigiert. Wir bitten alle Kunden die den Patch 13 verwenden mit dem 
            Workaround ein Upgrade auf Patch 14 durchzuführen!

FortiGate/FortiOS Ports down after 248 days of operation?

Bei unten aufgeführten FortiGate Modellen/FortiOS Versionen kann es bei 1G und 10G Ports zu bestimmten Symptomen kommen. Dies speziell nach 248 Tagen dh. Diese Symptome treten nicht per Standard auf sondern treten nur auf wenn auf FortiOS Ebene eine bestimmten Konstellation eintritt. folgende Symptome können auftreten:

       Link negotiation errors
       Port status down
       Port satus up but no traffic passing
       Link failure
       Port interface statistic rx/tx not correct

Folgende Modelle und Module sind betroffen:

       FortiGate: 600C/800C/1000C/1240B/3040B/3140B/3240C/3950B/3951B/5001B/5101C/5203B
       FortiGate FMC Module: C20/F20/XD2
       FortiCarrier: 3950B/3951B/5001B

Folgende FortiOS Pachlevel sind betroffen:

       FortiOS 4.0 MR2 GA to Patch Release 12 (4.2.12)
       FortiOS 4.0 MR3 GA to Patch Release 8 (4.3.8)
       FortiOSCarrier 4.0 MR2 GA to Patch Release 12 (4.2.12)
       FortiOSCarrier 4.0 MR3 GA to Patch Release 8 (4.3.8)

Ein Workaround ist auf den letzen FortiOS Patchlevel upzugraden. Wenn das Symptome auftritt sollte für eine sofortige Lösung der Device neu gestartet werden! Folgende Support Bulletin von Fortinet gibt Auskunft über dieses Issue:

       Datei:CSB-270513-1-port-down-248-days-1.pdf

Der FortiAnalyzer 4.0 MR3 Patch 6 FIPS und CC Zertifiziert?

Folgende Builds basierend auf "4.0 MR3 Patch 6" des FortiAnalyzer wurden FIPS und [CC] Zertifiziert:

       FortiAnalyzer-100C, 400B, 400C, 1000C, 2000B, 4000B

Weitere Informationen können über das offizielle Dokument des Support Bulletins entnommen werden:

       Datei:CSB-130507-2-FAZ-40MR3P6-FIPS-CC-Certified-Firmware.pdf

FortiClient AV update package causes connectivity issues?

Am 19. Juli 2013 wurde durch Fortinet über das FortiGuard Environment ein Antivirus Definition File Update bereitgestellt mit der Version 17.940! Diese Version des Antivirus Definiton File beinhaltete ein "False Positive". Dies bedeutet das Microsoft File "tcpip.sys" wurde fälschlicherweise als Virus erkannt. Durch diesen "False Positive" wurde das File - sofern auf dem Client ein "scheduled scan" durchgeführt wurde - in die Quarantine verschoben. Effekt daraus war, dass die Netzwerkverbindung des betroffenen Client - durch das verschieben des genannten Files - unterbrochen wurde sowie nicht mehr funktionierte da dieses File "tcpip.sys" benötigt wird auf einem Client um eine erfolgreichen Netzwerkverbindung zu etablieren.

Dieser "False Positive" wurde durch das Defintion File Update am 22. Juli 2013 mit der Version 17.943 korrigiert!

       Workaround um den "False Positvie" zu beheben:
       
       Kontrollieren Sie im FortiClient ob das File "tcpip.sys" sich in der Quarantine befindet:
       
       FortiClient Console > Klicke auf AntiVirus > danach wähle "Threats Quarantined"
       
       Befindet sich das File "tcpip.sys" in der Quarantine führe folgendes durch:
       
        1. Download the TCPIP-fix.zip file from the following location and copy to a USB flash drive or similar media:
          
           ftp://ftp-temp:r3triev3@support.fortinet.com/dropbox/CSB_Forticlient_17.940/TCPIP-fix.zip
          
        2. Disable the "Real Time Protection" from the FortiClient Console.
        3. Shutdown the FortiClient software.
        4. Open the cmd prompt with "Run As Administrator" privilege.
        5. Perform the command "net stop fortishield".
        6. Transfer the TCPIP-fix.zip to the workstation from the USB flash.
        7. Extract TCPIP-fix.zip into a folder.
        8. Using the command line interface, browse to the extracted folder.
        9. Perform "runme.bat" and wait for the script to finish. You will see the following message in the CMD window:
        
           Please reboot when Windows reports that it has finished installing adapters.
           Press any key to continue . . .
        10. In the Windows tray, you will see a message "Installing device driver software" and then a second message "Your device is ready to use".
        11. Reboot the PC.
        12. After the reboot and the network is restored, update the FortiClient AV signatures.
        13. Re-enable "Real Time Protection" from the FortiClient Console.

Weitere Informationen können über das offizielle Dokument des Support Bulletins entnommen werden:

       Datei:CSB-130724-1 FCT AV package network issue.pdf

FortiWeb connection timeouts during IP Reputation service update?

Bei WebServer'n die über FortiWeb geschützt werden -im Zusammenhang mit dem auf dem FortiWeb aktivierten Service "IP Reputation"- kommt es zu "Connection Timouts". Dieser Fehler stammt vom FortiOS das auf dem FortiWeb eingesetzt wird. Die Auswirkungen sind Performance Einbussen die den Zugriff auf die Web Server die über FortiWeb geschützt werden verlangsamen. Wenn dieser Umstand eintrifft wird auf der Console folgendes angezeigt:

       get IP intelligence hash node error(1000000)

Betroffen von diesem Fehler sind folgende FortiOS im Zusammenhang mit FortiWeb:

       5.0.0, 5.0.1, 5.0.2

Als Lösung sollte das FortiOS des FortiWeb auf folgenden Release gebracht werden:

       5.0.3

Wennn dies nicht möglich ist kann als Workaround der Service/Funktion auf dem FortiWeb der "IP Reputation" deaktiviert werden! Weitere Auskunft gibt folgendes Dokument der diesen Support Alert adressiert:

       Datei:CSB-131018-1 FWB Connection Timeouts IP Reputation.pdf

FortiGate Heartbeat Failures if the system uptime is greater than 497 days?

Wenn ein FortiGate HA Cluster mehr als 497 Tage "up and running" ist kommt es zu "heartbeat" Fehlern! Folgende FortiOS sind betroffen:

       FortiOS 4.0.0 - 4.3.15
       FortiOS 5.0.0 - 5.0.4

Um den Uptime zu überprüfen führe folgendes Kommando aus:

      # get sys performance status

Um den "heartbeat" Fehler zu beheben führen einen Neustart des Cluster's durch um die "Sys Uptime" zurück zustellen! Weitere Auskunft gibt folgendes Dokument der diesen Support Alert adressiert:

       Datei:CSB-131106-1 FGT Heartbeat failures 497 days.pdf

FortiGate System Freeze mit FortiOS 5.0.5 FGT-3810A / FGT-5001B/C?

Einge Modelle von FortiGate dh. FGT-3810A / FGT-5001B/C mit FortiOS 5.0.5 sind von folgenden Umstand betroffen:

       Wenn "heavy-load" im Zusammenhang mit HTTP Traffic auftritt kann ein System Freeze eintreten!

Wenn dies eintritt ist die CLI sowie das Web Mgmt. Interface nicht mehr zugänglich. Dieser Umstand tritt nur auf im Zusammenhang mit den genannten Geräten, bestimmten NP4 Prozessoren und VLAN's sowie FortiOS 5.0.5! Fortinet wird am November 22, 2013 für die betroffenen Geräte einen Patch zur Verfügung stellen. Weitere Informationen findet man im foglenden Support Alert Dokument:

       Datei:CSB-131113-1 FGT NP4 Hang Issue.pdf

FortiGuard updates to FortiOS 2.8 to finish?

Am 28. November 2013 kündigt Fortinet an das FortiOS basierend auf Version 2.8 EOL (End Of Life) geht dh. speziell für die IPS Engine 1.000 sowie AV Engine 3.003 werden keine Updates mehr zur Verfügung gestellt sowie die Entwicklung wird eingestellt. Alle FortiGate's basierend auf FortiOS 2.8 sollten so schnell als möglich auf die Version 3.0 gebracht werden um weiterhin betreffend Support sei es IPS und/oder AV Engine zu gewährleisten.

Diese Ankündigung wurde von Fortinet unter folgendem Customer Support Bulletin herausgegeben CSB-131126-1.

FortiGate/FortiManager IPS Engine update Januar/Februar 2014?

IPS Engine Updates werden über FortiGuard für Customer mit gültigen FortiGuard Service periodisch zur Verfügung gestellt. Dabei handelt es sich nicht um die IPS Signaturen sondern die Engine selber. Die nächste zur Verfügung stehenden IPS Engine Update Version ist die Version 2.174. Diese Engine wird allen FortiGate Devices mit FortiOS 5 sowie FortiOS 4.3.12 oder höher gemäss nachfolgenden Zeitplan automatisch zur Verfügung gestellt:

       January 27th 10:00 PST – Remaining FortiGate units running 4.3.12 or later patch releases
       January 29th 10:00 PST – Premium support customer devices running 4.3.12 or later patch releases
       February 10th 10:00 PST – All FortiManager’s running 4.3.x or 5.0.x software and providing IPS packages to FortiGates running 4.3.12 or later patch releases and all 5.0 versions 
       
       NOTE In seltenen Fällen kommt es zu kurzfristigen "High CPU" Situation der IPS Engine. Diese "High CPU" Situation
            sind nur vorübergehender Natur dh. wenn die "High CPU" Situation permanent besteht siehe nachfolgender Artikel:
            
            FortiGate-5.0-5.2:FAQ#Wie_kann_ich_rausfinden_was_ein_High_CPU_verursacht_und_was_kann_ich_dagegen_tun.3F

Wenn Probleme erwartet werden auf der FortiGate etc. kann das automatische Update ebenfalls komplett deaktiviert werden und manuell innerhalb eines Wartungsfenster installiert werden. Dazu stellt Fortinet folgenden Link zur Verfügung um das Packet über folgende Position manuell einzuspielen:

       ftp://ftp-temp:r3triev3@support.fortinet.com/CustomerCare/flen-400-2.0174.pkg 
       
       Einzuspielen über die Position:
       
       System > Config > FortiGuard > FortiGuard Subscription Services > IPS Definitions > Update

Um nachträglich die IPS Version auf dem FortiGate Device zu Ueberprüfen kann folgender Befehl auf der CLI ausgeführt werden:

       # get syst auto-update version
        IPS Attack Engine
        --------- Version: 2.00137

Diese Ankündigung wurde von Fortinet unter folgendem Customer Support Bulletin herausgegeben CSB-140110-1.

Fortinet Information Disclosure Vulnerability in OpenSSL?

Betreffend Details zu diesem "Vulnerability" siehe nachfolgender Artikel:

      Fortinet:Support-Alerts#Fortinet_.22Heartbleed.22_OpenSSL_Vulnerabilitly_Remote_Memory_Disclosure_Vulnerability_8._April_2014_.28CVE-2014-0160.29.3F

Weitere Informationen findet man im foglenden Support Alert Dokument:

      Datei:CSB-140408-1 OpenSSL Vulnerability.pdf

FortiGuard Updates für FortiOS 3.0 End Of Life?

Fortinet kündigt an, dass die Antivirus Engine (AVE) und IPS Engine (IPSE) im Zusammenhang mit FortiOS 3.0 end of life geht (Juli 2014). Bis Januar 2015 werden keine AV-Engine und/oder IPS-Engine Signaturen Packages für FortiOS 3.0 zur Verfügung gestellt. Ab Januar 2015 wird der Support für FortiOS 3.0 im Zusammenhang mit AV-Engine/IPS-Engine sowie Signaturen Package im FortiGuard Distribution Network komplett eingestellt.

Folgende Produkte sind betroffen:

       Alle FortiGate Modelle mit installiertem FortiOS 3.0
       Letzte unterstützte Engine Version basiernd auf FortiOS 3.0 - 3.0 MR5:
       
       IPS Engine: 1.097
       AV Engine: 3.010

       Letzte unterstützte Engine Version basiernd auf FortiOS 3.0 MR6:
       
       IPS Engine: 1.129
       AV Engine: 3.010

Fortinet empfiehlt allen Kunden ein Upgrade auf 4.0 oder höher. Diese Ankündigung wurde von Fortinet unter folgendem Customer Support Bulletin herausgegeben CSB-140514-1:

      Datei:CSB-140514-1 FGD updates 30 .pdf

FortiDDoS upgrading to 4.1.0 / 4.1.1

Fortinet hat ein Support Bulletin herausgegeben betreffend FortiDDoS Upgrade auf 4.1.0 / 4.1.1. In diesem Support Bulletin wird darauf hingewiesen, dass beim einem Upgrade für FortiDDoS 4.1.0 / 4.1.1 den Release Notes strikte zu folgen ist speziell betreffend Bios Konfiguration. Um den Upgrade Prozess einfach zu gestalten hat Fortinet dieses Upgrade aus dem Downloadbereich entfernt. Kunden die in der Zwischenzeit ein Upgrade betreffend FortiDDoS 4.1.0 / 4.1.1 durchführen wollen müssen -da das Image über den Downloadbereich nicht mehr zur Verfügung steht- ein Ticket eröffnen. Nach dem eröffnen des Tickets erhält der Kunde Hilfe wie das Upgrade durchzuführen ist sowie das Image für das Upgrade selber. Diese Ankündigung wurde von Fortinet unter folgendem Customer Support Bulletin herausgegeben CSB-140702-1 / CSB-140728-1:

      Datei:CSB-140702-1 FDD upgrade.pdf

FortiGate FortiOS 5.2.1 "IPSec tunnels (DHCP interface) do not come up after reboot"?

Fortinet hat ein Support Bulletin rausgebracht betreffend FortiOS 5.2.1 im Zusammenhang mit IPSec und DHCP Interface. Wenn ein IPSec Tunnel konfiguriert wird basierend auf einem FortiGate Interface (zB wan1) das dessen IP über DHCP bekommt wird der IKE Deamon/Service nach einem Neustart der FortiGate nicht mehr gestartet. Der Grund dafür ist der Folgende: Nach dem Neustart versucht der IKE Deamon den lokalen Gateway zu verifizieren. Da dies nicht möglich ist wird der IKE Deamon/Service nicht gestartet. Dieser Umstand betrifft "nur" Interface's die Ihre IP über einen DHCP Server bekommen dh. Interface's die statisch konfiguriert sind, sind nicht betroffend von diesem Umstand. Dieses Problem ist bekannt unter Bug ID:

       Reference Bug ID: 254898

       Affected Products:
       Alle FortiGate basierend auf FortiOS 5.2.1 (FortiOS 5.2.0 ist nicht betroffen)

       Workaround:
       Um diesem Bug entgegenzutreten gibt es vers. Workaround:
       
       Workaround 1: Nachdem Neustart/Reboot muss der IKE Deamon manuell neu gestartet werden:
                     Benütze auf der Kommandozeile folgendes Kommando:
                     
                     # diagnose sys top 20 40
                     # diagnose sys kill -9 <pid>
                     
                     Beispiel:
                     # diagnose sys top 20 40
                     ...
                     iked 70 S 0.0 1.1
                     # diag sys kill -9 70
                     
                     NOTE Um die Prozess ID des IKE Deamons/Service zu erurieren kann ebenfalls folgender Befehl benützt werden:
                          
                          # fnsysctl more /var/run/iked.pid
                          70
        
       Workaround 2: Roll-back resp. Downgrade auf 5.2.0 (Diesen Weg empfehlen wir nicht).
       Workaround 3: Sofern möglich Konfiguration einer "statischen" IP auf dem FortiGate Interface.

       Resolution:
       Dieser Bug mit der ID 254898 wird in FortiOS 5.2.2 behoben sein. Release Datum für diese Version ist voraussichtlich 10. Oktober 2014.

Diese Ankündigung wurde von Fortinet unter folgendem Customer Support Bulletin herausgegeben CSB-140924-1:

      Datei:CSB-140924-1 IPSec DHCP Interface.pdf

FortiGate-100D 4th Generation Supported Code Versions (Inkompatibilität zu FortiOS Versionen)?

Fortinet hat für die FG-100D eine 4te Generation released. Bei diesem Release der Hardware sprich der 4ten Generation "kann" eine Inkompatibilität auftreten mit vers. FortiOS Versionen. Wenn so eine Inkompatibilität existiert/eintritt kann der Device nicht ordnungsgemäss Neu gestartet werden (unit fails to boot-up).

       Affected Products:
       FG-100D in der 4ten Generation können folgendermassen Identifiziert/verifiziet werden:
       
       # get system status
       
       Wenn im Output folgende Part Nummer erscheint handelt es sich um eine FG-100D in der 4ten Generation:
       
       Part Number:  P11510-04
       
       Eine FortiGate-100D in der 4ten Generation trägt die folgende Hardware ID:
       
       Hardware ID:  C4LL40-04AA-0000
       
       Folgende Serien Nummern sind betroffen:
       
       Serial Number:  FG100D3G14812216 und höher 
       
       Ebenfalls sind folgende Serien Nummern betroffen:
       
       FG100D3G14808002
       FG100D3G14808003
       FG100D3G14808005
       FG100D3G14808006
       FG100D3G14808007
       FG100D3G14808008
       FG100D3G14808009
       FG100D3G14808010
       FG100D3G14808011
       FG100D3G14808013
       FG100D3G14808014
       FG100D3G14808015

       Affected Products:
       FortiOS Versionen 4 MR3 ausser 4 MR3 Patch 18
       FortiOS Versionen 5.0 ausser 5.0 Patch 8

       Resolution:
       Update oder neu Staging des Devices auf FortiOS 4 MR3 Patch 18 und/oder FortiOS 5.0 Patch 8

Diese Ankündigung wurde von Fortinet unter folgendem Customer Support Bulletin herausgegeben CSB-141117-1:

      Datei:CSB-141117-1-100D-Supported-Code-Version.pdf

FortiGate FG-80C fails to load FortiOS image 5.2.x?

Fortinet hat ein Support Bulletin rausgebracht betreffend FortiOS 5.2 im Zusammenhang mit dem Upgrade Prozess auf 5.2.0, 5.2.1, or 5.2.2 einer FortiGate/WiFi 80C. Dies bedeutet: Wird ein Upgrade durchgeführt auf die genannten Versionen und der Device der FortiGate/WiFi 80C verfügt über ein Bios Version "4000007" oder tiefer "kann" es zu einem Fehler führen. Die Bios Version kann mit folgenden Kommando "vor" einem Upgrade verifiziert werden:

      # get sys status
      Version: FortiWiFi-80CM v5.0,build0292,140801 (GA Patch 9)
      Virus-DB: 16.00560(2012-10-19 08:31)
      Extended DB: 1.00000(2012-10-17 15:46)
      IPS-DB: 4.00345(2013-05-23 00:39)
      IPS-ETDB: 0.00000(2001-01-01 00:00)
      Serial-Number: FW80CM3900000000
      Botnet DB: 1.00000(2012-05-28 22:51)
      BIOS version: 04000006
      Log hard disk: Not available

       Affected Products:
       FortiGate: FG-80C, FG-80CM
       FortiWiFi: FW-80CM, FW-81CM

       Resolution:
       Die Software Version resp. Image der "Affected Products" wurden neu erstellt basierend auf FortiOS 5.2.2 und über den Download 
       Bereich neu zur Verfügung gestellt. Die neu erstellten Images tragen das Datum vom 6. Januar 2015. Somit sollten alle vorhandenen 
       Images die ein früheres Datum tragen gelöscht werden.

Diese Ankündigung wurde von Fortinet unter folgendem Customer Support Bulletin herausgegeben CSB-150109:

      Datei:CSB-150109-1 FG-80C failes to load.pdf

FortiAnalyzer Limited Support for Remote SQL Database?

Ab der FortiAnalyzer Versionen 5.0.7 und 5.2.0, werden Remote SQL Datenbank nur dahingehend unterstützt, dass "ausschliesslich" die Log Informationen in die SQL Datenbank geschrieben werden. Dies bedeutet: Funktionen wie "Historische Log Suche" und "Reporting Möglichkeiten" werden ab den genannten Versionen nicht mehr unterstützt.

       Affected Products:
       Alle FortiAnalyzer Versionen inkl. Devices ab der Version 5.0.7 sowie 5.2 die eine "Remote SQL Datenbank" benutzen.

       Resolution:
       Es wird empfohlen die "Locakle Datenbank" eines FortiAnalyzer's zu benutzen.

Diese Ankündigung wurde von Fortinet unter folgendem Customer Support Bulletin herausgegeben CSB-150204-1:

      Datei:CSB-150204-1-FAZ-Remote-SQL.pdf

FortiGate Axcen SFP (SX) Transceiver may fail to bring link up?

Für alle erwähnten FortiGate Modelle "D" die einen Axcen SFP (SX) Transceiver benutzen mit der Part Nummer "AXGE-5854-0511" besteht ein Problem, dass der physische Link nicht aktiviert wird (link up).

       Affected Products:
       FortiGate Modelle FG300D, FG500D, FG1000D, FG1200D, FG1500D

       Resolution:
       In einigen Fällen kann der "link up" Status erfolgreich etabliert werden wenn die "speed" Einstellungen des Interface
       auf einen festen Wert gesetzt wird dh. 100 Full-Duplex oder 1000 Full-Duplex. In so einer Konstellation sollte darauf
       geachtet werden, dass der Switch ebenfalls auf diese festen Werte konfiguriert wird. Wenn dies nicht erfolgreich 
       konfiguriert/durchgeführt werden kann so wird der SFP Transceiver über den RMA Prozess ausgetauscht.

Diese Ankündigung wurde von Fortinet unter folgendem Customer Support Bulletin herausgegeben CSB-150320-1:

      Datei:CSB-150320-1 Axcen SFP txer.pdf

All FortiGate Modesl Firewall Service Protocol Number Change?

In FortiOS 5.0.8 und 5.0.9 sowie 5.2.0 und 5.2.2 wurde der Standard Wert des "Firewall Service Protokoll" von 0 auf 6 geändert was wiederum da "6" TCP entspricht (0 = Alle Protokolle). Diese Aenderung spielt speziell bei einem Upgrade eine "wichtige" Rolle da sofern eine Firewall Policy implementiert wird mit dem Service "ALL" stand dieser "vor" einem Upgrade auf "Protokoll 0" was "Alle Protokollen" entpsricht und da nun durch die Aenderung der Wert auf "6" gesetzt wird ist nur noch "TCP" erlaubt. Auch ein Factory Reset löst dieses Problem nicht.

       Affected Products:
       All FortiGate Modelle

       Resolution:
       Bei FortiOS 5.0.10 und 5.2.3 wurde dieser Standard Wert wieder auf die Ursprünglichen Wert von "0" gesetzt. Wenn ein
       Upgrade auf einer FortiGate - ausgehende von den betroffenen Versionen (FortiOS 5.0.8/9 FortiOS 5.2.0/2 Standard Wert
       6) - auf Version 5.0.10 oder 5.2.3 (Upgrade Path einhalten) durchgeführt wird, wird der Standard Wert auf den alten 
       Wert "0" zurückgesetzt.

Diese Ankündigung wurde von Fortinet unter folgendem Customer Support Bulletin herausgegeben CSB-150402-1:

      Datei:CSB-150402-1 Service-Protocol-Number.pdf

Some 90Ds do not finish booting (FortiOS 5.2)?

Betreffend dem Modell 90D gibt es im Zusammenhang mit FortiOS 5.2 ein Problem das verhindert, dass die 90D keinen korrekten Neustart ausführt. Nachfolgend die Details:

       Affected Products:
       FG-90D, FG-90D-POE, FW-90D, and FW-90D-POE

       Description:
       Der Systemstart wird nicht korrekt ausgeführt und auf der Konsole ist folgendes sichtbar:

       1.Initializing firewall…
       2.System is starting...

       Resolution:
       Upgrade der Firmware auf FortiOS 5.2.3. Dieses Upgrade sollte das Problem beheben. Bei weiteren Problemen ist der Customer
       Support zu kontaktieren!

Diese Ankündigung wurde von Fortinet unter folgendem Customer Support Bulletin herausgegeben CSB-150508-1:

      Datei:CSB-150508-1-90D-no-boot.pdf

FG-80C fails to load FortiOS image 5.0.12 or 5.2.x?

Betreffend dem Modell 80C gibt es im Zusammenhang mit FortiOS 5.0.12 sowie 5.2.x ein Problem das verhindert, dass die 80C nach einem Upgrade auf die erwähnten Versionen keinen korrekten Neustart ausführt. Nachfolgend die Details:

       Affected Products:
       FG-80C, FG-80CM

       Description:
       Der Systemstart wird nicht korrekt ausgeführt bei Bios Versionen tiefer als "4000007". Um die Bios Versionen anzuzeigen
       führe folgendes aus:
       # get sys status
       Version: FortiWiFi-80CM v5.0,build0292,140801 (GA Patch 9)
       Virus-DB: 16.00560(2012-10-19 08:31)
       Extended DB: 1.00000(2012-10-17 15:46)
       IPS-DB: 4.00345(2013-05-23 00:39)
       IPS-ETDB: 0.00000(2001-01-01 00:00)
       Serial-Number: FW80CM3900000000
       Botnet DB: 1.00000(2012-05-28 22:51)
       BIOS version: 04000006
       Log hard disk: Not available

       Resolution:
       Die Software Image's für 5.0.12 betreffend Modelle FG-80C, FG-80CM, FW-80CM und FW-81CM wurden neu erstellt und tragen 
       die Build Nummer 150709. Für die besagten Modelle sollten ausschliesslich nur dieses Image verwendet werden. Für FortiOS
       5.2.x wird ein neues Image released was geplant ist für den 21. July 2015.

Diese Ankündigung wurde von Fortinet unter folgendem Customer Support Bulletin herausgegeben CSB-150109:

      Datei:CSB-150109-2 FG-80C.pdf

Partial Configuration Loss running 5.2.4 FortiGate/FortiWifi 20C, 30D, and 40C series?

FortiGate/FortiWifi Modelle 20C, 30D sowie 40C können Ihre Konfiguration bei einem Upgrade auf 5.2.4 Build Nummer 0688 (Datum 150722) betreffend IPSec Interface, Virtual Access Point Interface, Virtual Switch Interface sowie Loopback Interface verlieren. Dies geschieht speziell beim einem Neustart des Devices. Um die Version resp. Build Nummer sowie Datum zu überprüfen führe folgendes durch:

       # get system stat | grep 0688
       Version: FortiGate-20C v5.2.4,build0688,150722 (GA)

       Affected Products:
       FortiGate: FG-20C, FG-20C-ADSL, FG-30D, FG-30D-PoE, FG-40C
       FortiWiFi: FW-20C, FW-20C-ADSL, FW-30D, FW-30D-PoE, FW-40C

       Resolution:
       Für FortiOS 5.2.4 wurden die entsprechenden Images modifiziert dh. es muss darauf geachtet werden, dass nicht
       mehr die "alten" Images benützt werden. Die neuen Images tragen zwar die gleiche Build Nummer 0688 jedoch mit
       einem neueren Datum dh. "150730". Dies kann mit folgenden Befehl verifiziert werden:
       
       # get system status | grep 0688
       Version: FortiWiFi-30D v5.2.4,build0688,150730 (GA)

Diese Ankündigung wurde von Fortinet unter folgendem Customer Support Bulletin herausgegeben CSB-150730-1:

      Datei:CSB-150730-1-Partial-Config-Loss.pdf

FortiGate HA failover after 497 days uptime?

Wenn ein FortiGate Device im HA Modus betrieben wird, können Fehler auftreten betreffend "heartbeat" sofern die Cluster Member über eine "system uptime" verfügen von über "497" Tage. Wenn dies auftritt werden in den Logs folgenden Meldungen gezeigt:

       15:54:10 0100037892 notice   Virtual cluster's member state moved
       15:54:08 0100037894 notice   Virtual cluster detected member join
       15:54:08 0100037899 notice   HA device(interface) peerinfo
       15:54:08 0100037899 notice   HA device(interface) peerinfo
       15:54:08 0100037901 critical Heartbeat device(interface) down
       15:54:08 0100037901 critical Heartbeat device(interface) down
       15:54:08 0100037893 notice   Virtual cluster detected member dead

Die gezeigten Meldungen indizieren einen "heartbeat failure" sowie ein "recovery" in kürzester Zeit. Um die Uptime auf einem Device zu eruieren führe folgendes Kommando aus:

       # get system performance status | grep Uptime

       Potentially Affected Products:
       Alle FortiGate's in einem HA Cluster Verbund

       Potentially Affected OS:
       FortiOS 4.3.16 oder Neuer, 5.0.5 oder Neuer, alle Versionen vis 5.2.4.

       Workaround:
       Neustart der Cluster Member

       Resolution:
       Diese Problem wird mit FortiOS 5.2.5 sowie 5.4.0 gelöst!

Diese Ankündigung wurde von Fortinet unter folgendem Customer Support Bulletin herausgegeben CSB-150807-1:

      Datei:CSB-150807-1-FortiGate-HA-failover-497days.pdf

Probleme beim Aktivieren eines FortiTokenMobile 3.0.3 mit iOS Devices?

Bei der Aktivierung eines FortiTokenMobile 3.0.3 (build 066) auf einem iOS Device kommt es zu Problemen und eine Fehlermeldung wird angezeigt:

       Resulting error: JSON Error: Invalid "mobile_id_hash"

       Resolution:
       FortiTokenMobile 3.0.3 wurde aus dem Apple App Store entfernt und wird ab ca. ab 1. September wieder zur Verfügung gestellt. 
       Im Moment wird FortiTokenMobile 3.0.4 von Apple "reviewed" und solbald dies abgeschlossen ist wird Apple FortiTokenMobile 3.0.4 
       wieder im App Store zur Verfügung stellen. Normalerweise dauert dieses "review" von Apple ca. 1 Woche.

Diese Ankündigung wurde von Fortinet unter folgendem Customer Support Bulletin herausgegeben CSB-150821-1:

       Datei:CSB-150821-1-FTM-303-Activation Errors.pdf

Adding Support for El Capitan in FortiClient (Mac OS X)?

Der momentan verfügbare FortiClient in der Version 5.2.4 beinhaltet keine Unterstützung für das neue MacOSx "El Capitan". Wenn der FortiClient in der Version 5.2.4 dennoch installiert wird wird auf dem MacOSx "El Capitan" werden ungewollte Neustarts des System ausgeführt. Um das Problem zu lösen "muss" der FortiClient deinstalliert werden. Als Alternative kann der embedded Cisco VPN Client benutzt werden dieser benötigt jedoch in der Phase1/2 eine neue Konfiguration.

       Resolution:
       Die folgenden geplanten FortiClient Releases werdne das neue Betriebssytem von MacOSx unterstützen:
       FortiClient 5.4.0 (Release Datum ca. 9. Oktober 2015)
       FortiClient 5.2.5 (Release Datum ca. ende Oktober 2015)

Diese Ankündigung wurde von Fortinet unter folgendem Customer Support Bulletin herausgegeben CSB-150821-1:

       Datei:CSB-151006-FortiClient-El-Capitan-Support.pdf

Caution in using Rogue AP Suppression for FortiGate/FortiWiFi Wireless Controller for FortiAP's?

Fortinet hat einen Support Alert lanciert der auf folgenden Umstand hinweist: Wenn das Feature "Roque AP Suppression" benutzt wird so muessen die entsprechenden Regulatorieren (FCC enforcement actions & rules.) in den jeweiligen Ländern in dem die FortiAP's eingesetzt werden berücksichtigt werden um zu gewährleisten das diese in dem jeweiligen Land erlaubt wird! Der nachfolgende Artikel gibt Auskunft über welche Funktion "Roque AP Suppression" konfiguriert werden kann". Dabei ist zu berücksichtigen: Dieser Artikel beschreibt die Funktion "Rogue AP" was jedoch nicht bedeutet - wenn diese Funktion benutzt wird - , dass auch "Roque AP Suppression" eingesetzt wird. Das heisst: "Roque AP" Funktion beninhaltet "Roque AP Suppression" ist jedoch nicht automatisch aktiviert:

       FortiAP:FAQ#Was_bedeutet_der_Konfigurationspunkt_.22Rogue_AP.E2.80.99s.22.3F

Diese Ankündigung wurde von Fortinet unter folgendem Customer Support Bulletin herausgegeben CSB151125:

       Datei:CSB151125-Rogue-AP-Supression.pdf

FortiGate flash disk errors FortiOS 4.x/5.0/5.2?

Fortinet hat ein Support Alert lanciert der ein Umstand beschreibt der vielen jedoch bereits bekannt ist. Dies bedeutet: Es wird dringend empfohlen lokales Disk Logging zu deaktivieren. Bei kleineren Geräten wie FG-40C, FG-60x, FG-80C usw. kann das lokale Disk logging unter FortiOS 5.2 nicht mehr aktiviert werden. Für FortiOS 5.0.x kann zwar das lokale Disk logging aktiviert werden ist jedoch dringend nicht empfohlen. Die Disk's die für diese Device benutzt werden sind Flash Disk's. Diese verfügen über einen max. P/E cycles was auch als "program-erase cycles" bekannt ist. Erreicht eine Flash Disk diesen "cycles" werden Error Meldungen ausgegeben wie zB :

       Im Event Log erscheint folgende Meldung:
       
       EXT3-fs: group descriptors corrupted !
       EXT3-fs error (device sd(8,3)): ext3_check_descriptors: Block bitmap for group 17
       not in group (block 17334272)!
       
       oder
       
       The following critical firewall event was detected: Kernel error.
       date=2015-10-19 time=08:49:12 devname=FortiGate devid=FGT60D3912621349 logid=0100020010 type=event subtype=system level=critical vd="root" logdesc="Kernel
       error" msg="EXT3-fs error (device sd(8,3)): ext3_get_inode_loc: unable to read inode block - inode=132, block=8"
       
       oder
       
       EXT2-fs error (device sd(8,3)): ext2_free_blocks: Freeing blocks not in datazone - block = 4294967295, count = 1

Wenn ein solcher Device Neu gestartet wird regulär oder irregulär erscheint beim Start auf der RS-232 Console folgendes:

       Initializing firewall...
       System is starting...
       Starting system maintenance...
       Scanning /dev/mtd1... (100%)
       Formatting shared data partition ... done!
       EXT3-fs: error loading journal.
       EXT3-fs: error loading journal.

       Potentially Affected Products:
       Low end FortiGate/FortiWifi models with flash storage
       20C, 40C, 60C, 80C,
       60D, 90D, 100D

       Potentially Affected OS:
       FortiOS 4.x
       FortiOS 5.0
       FortiOS 5.2

Wenn dies zutrifft für einen Device ist ein Workaround die Disk mit nachfolgenden Befehl zu formatieren:

       # execute formatlogdisk

Dieser Workaround ist jedoch nicht eine Gewährleistung das dieser Error usw. nicht wieder auftritt. Fortinet hat diesem Umstand in FortiOS 5.2.5 Rechnung getragen. Dies bedeutet: Um diesem Umstand entgegenzutreten wurde in FortiOS 5.2.5 sowie 5.4.0 eine Implementierung hinzugefügt (welche umbekannt) der diesen Error resp. Umstand entgegenwirkt, was jedoch keine Gewährleistund ist, dass dieser Error/Umstand nicht wieder auftritt! Aus diesem Grund ist es zu empfehlen sobald 5.2.5 zur Verfügung gestellt wird durch Fortinet ein Upgrade durchzuführen auf 5.2.5. Wenn - obwohl die Disk formatiert wurde - dieser Error/Umstand wiederum auftritt ist ein Ticket bei Fortinet zu eröffnen für einen "RMA Case". In so einem Fall ist klar darauf hinzuweisen, dass die Disk bereits formatiert wurde jedoch der Errror wiederrum aufgetreten ist. Wir empfehlen "dringend" auf für FG-100D sowie FG-90D "kein" Disk Logging zu aktivieren und Remote Logging auf einem FortiAnalyzer zu benutzen damit die Disk nicht für Logging benutzt wird. Dies heisst jedoch nicht, dass die Disk für kleinere Geräte (inkl. FG-90D/100D nicht formatiert werden soll. In jedem Fall ist die Disk bei einer Installation und - obwohl Remote Logging benutzt wird - zu formatieren da ein Device die Disk nicht "nur" für das Logging benutzt. Die Funktionen die auf einer Disk benutzt werden "exkl. Logging" sind jedoch akzeptable sofern diese nicht "exessive" genutzt werden wie zB:

       Device identification
       DHCP and/or PPPoE

Diese Ankündigung wurde von Fortinet unter folgendem Customer Support Bulletin herausgegeben CSB-151124-1:

       Datei:CSB-151124-1-FortiGate-Flash-disk-errors.pdf

FortiOS SSH Undocumented Interactive Login Vulnerability?

Es ist möglich über eine SSH Verbindung auf auf einem FortiGate Devices mit einem betroffenen FortiOS direkt Adminrechte zu erlangen. Dadurch kann eine vollständige Kontrolle des FortiGate Devices erlangt werden. Dieser "Vulnerability" war keine "backdoor vulnerability" und deshalb wurde auch kein offizieller "CV" publiziert. Der Grund dieses "Vulnerability" war eine "Management authentication issue". Der "Vulnerability" wurde durch das Fortinet "Security Team", das durch regelmässige Reviews und Testing die Produkte durchleuchtet gefunden. Eine entsprechende Korrektur wurde im Juli 2014 durch Fortinet released durch die Versionen 4.3.18 sowie 5.0.8.

       Impact:
       Remote Console Access mit "Administrative Access" bei aktiviertem SSH! 

       Affected Products::
       FortiOS 4.3.0 bis 4.3.16
       FortiOS 5.0.0 bis 5.0.7
       
       NOTE Die FortiOS 5.2.x und 5.4.x sind nicht betroffen.

       Refrence:
       https://www.fortiguard.com/advisory/fortios-ssh-undocumented-interactive-login-vulnerability 

       Solutions:
       Upgrade auf FortiOS 4.3.17 oder höher (available as of July 9, 2014)
       Upgrade auf FortiOS 5.0.8 oder höher (available as of July 28, 2014)

       Workaround:
       Deakiviere den Administrationszugriff über SSH auf allen Interfaces sofern möglich. Wenn eine Deaktivierung des 
       Administrations Zugriff über SSH nicht möglich ist schränke die Benutzung über "Autorisierte IP Adressen" ein! Weitere 
       Informationen wie der SSH Remote Zugriff eingeschränkt werden kann siehe nachfolgenden Artikel:
       
       FortiGate-5.0-5.2:FAQ#Wie_aktiviere_ich_f.C3.BCr_den_User_.22admin.22_den_Management_Zugriff_und_was_muss_ich_dabei_ber.C3.BCcksichtigen.3F
       
       Wenn SSH komplett vorübergehend deaktiviert werden kann verwende vorübergehend für die CLI das "Console Widget" im Mgmt. Web Interface "Dashboard".

Diese Ankündigung wurde von Fortinet unter folgendem Customer Support Bulletin herausgegeben CSB-160115-1:

       Datei:CSB-160115-1-ssh-interactive-login-vuln.pdf

FortiAP-Meru Vport-IOS issue?

Diese Ankündigung wurde von Fortinet unter folgendem Customer Support Bulletin herausgegeben CSB-160302-1:

       Datei:CSB-160302-1-Vport-IOS-rev1.pdf

FortiAnalyzer drops logs sent from FortiGate devices?

Unter gewissen Umständen stoppt die Uebermittlung der Logs für Devices zum FortiAnalyzer unter FortiAnalyzer 5.2.6! Dieses Problem wird ausgelöst durch folgende Faktoren:

       • FortiGate Devices wurden Registriert als HA Cluster vor oder nach einem Upgrade auf FAZ 5.2.6.
       • Nach einer Cluster Registrierung wurde der Slave Device nicht gelöscht.
       • Der Slave Device hat einen tiefere system generierte ID (OID) im Vergleich zur Cluser OID.

Die OID kann in der CLI des FAZ folgendermassen verifziert werden:

       # diag dvm device list

Wenn eine Verifizierung der OID vor einem Upgrade auf 5.2.6 durchgeführt wird und der Slave Device ist ersichtlich, kann dieser gemäss Workaround gelöscht werden. Wenn der Slave Device gelöscht wurde kann ein Upgrade auf 5.2.6 durchgeführt werden um dieses Problem zu umgehen!

       Impact:
       Es werden keine Logs mehr zum FortiAnalyzer der Devices Uebermittelt! 

       Affected Products::
       FortiOS 5.2.6

       Solutions:
       Upgrade auf FortiAnalyzer 5.2.7

       Workaround:
       Um das Problem zu umgehen muss in erster Linie die OID kontrolliert werden. Zeigt der FAZ Slave eine tiefere OID sollte dieser
       innerhalb des Device Managers gelöscht werden. Danach muss ein Neustart des FAZ durchgeführt werden und der Slave wird nach
       dem Neustart wieder hinzugefügt!

Diese Ankündigung wurde von Fortinet unter folgendem Customer Support Bulletin herausgegeben CSB-160407-1:

       Datei:CSB-160407-1-FortiAnalyzer-Drops-Logs.pdf

Last Release of Software for Specific Models (FG-3016B FG-3810A FG-5001A FK-3810A FK-5001A)?

Aus Gründen der Device Flash grössen Limitierungen werden erwähnte FortiGae Modelle nicht weiterhin für 5.2.x unterstützt resp. FortiOS Images zur Verfügung gestellt. Es muss dabei erwähnt werden das diese erwähnten Modelle sich bereits im End-of-Life Cycle befinden! Das letzte zur Verfügung stehende FortiOS Image für diese erwähnten FortiGate Devices ist die Version 5.2.5:

       Affected Products::
       FortiGate FG-3016B
       FortiGate FG-3810A
       FortiGate FG-5001A SW & DW
       FortiCarrier FK-3810A
       FortiCarrier FK-5001A SW & DW

       Additional Information:
       Fortinet wird bei Security Vulnerabilities oder Critical Software Issues vor Ende 
       des End-of-Life Cycle für diese erwähnten FortiGate Devices entsprechende Patch
       Releases zur Verfügung stellen!

Diese Ankündigung wurde von Fortinet unter folgendem Customer Support Bulletin herausgegeben CSB-160222-1:

       Datei:CSB-160222-1-Last-SW-Release.pdf

FortiManager Potential Memory Leak?

Bei einer FortiManager Installation unter 5.2.6 existiert unter gewissen Umständen ein "memory leak". Dieser "memory leak" äussert sich in dem es zu Fehlermeldungen kommt, wenn ein grösseres Policy Package installiert wird. Ob ein Policy Package erfolgreich installiert werden kann, hängt vom zur Verfügung stehenden System Memory ab sowie der Komplexität des Policy Packages.

       Impact:
       Komplexe Policy löst bei einer Installation ein "memory leak" aus! 

       Affected Products::
       FortiManager 5.2.6

       Solutions:
       Upgrade auf FortiManager 5.2.7

       Workaround:
       Wenn ein Policy Package zu mehreren Devices für eine Installation hinzugefügt wurde, sollte die Anzahl der Devices die
       dieses Policy Package benutzen reduziert werden!

Diese Ankündigung wurde von Fortinet unter folgendem Customer Support Bulletin herausgegeben CSB-160222-1:

       Datei:CSB-160405-1-FortiManager-Memory-Leak.pdf

Cookie Parser Buffer Overflow Vulnerability

FortiGate Firmware welche vor dem August 2012 veröffentlicht wurden weisen eine cookie parser Buffer Überlastung Sicherheistlücke auf. Durch diese Sicherheitslücke ist es möglich mit einem manipuliertem http Request die Kontrolle des Gerätes zu übernehmen.

Betroffen sind Firmware Versionen welche tiefer als die Version 4.x sind. FortiOS Versionen 5.x sind NICHT betroffen.

Alle weiteren Fortinet Produkte werden auch auf diese Sicherheitslücke untersucht. (Stand 18.08.2016)

       Impact:
       Remote administrative access

       Affected Products:
       - FortiOS 4.3.8 und tiefer
       - FortiOS 4.2.12 und tiefer
       - FortiOS 4.1.10 und tiefer

       Solutions:
       - Upgrade auf FortiOS 5.x oder höher
       - Upgrade auf 4.3.9 oder höher auf Modelle welche nicht kompatibel mit FortiOS 5.x sind.

       Risk
       FortiGuard Stuft die Sicherheitslücke mit Level 4 (High) ein

Weitere Inforamtionen auf https://fortiguard.com/advisory/FG-IR-16-023

Purchased FAZ-VM Licensing Shows Expiry Date

Unter gewissen Umständen zeigt eine korrekt beschaffte FortiAnalyzer Lizenz ein "expiration date" dh. unter normalen Umständen läuft eine FortiAnalyzer Lizenz nie aus und darf über kein "expiration date" verfügen.

       Affected Products:
       FortiAnalyzer FAZ-VM

Um festzustellen ob die Lizenz eines FortiAnalyzer betreffend diesem Umstand betroffen ist führe auf CLI folgendes Kommando aus:

       # diagnose debug vminfo

Wenn die FortiAnalyzer Lizenz von diesem Umstand betroffen ist wird folgendes angezeigt:

       # diagnose debug vminfo
        Valid License Type
       Expired in : 84 days 17 hours 37 minutes
        Table size:
                Licensed Storage: 49652GB
                Licensed GB/Day: 201

Wenn die FortiAnalyzer Lizenz nicht betroffen ist von diesem Umstand wird folgendes angzeigt:

       # diagnose debug vminfo
        Valid License Type
        Table size:
        Licensed Storage: 8392GB
        Licensed GB/Day: 26

       Solutions:
       Wenn die FortiAnalyzer Lizenz mit einem "expiration date" angezeigt wird muss zur Lösung die Lizenz abermals über den
       entsprechenden Support Account runtergeladen werden um das "expiration date" zu entfernen. Nachdem die Lizenz abermals
       runtergeladen wurde muss die FortiAnalyzer Lizenz wiederum auf dem FortiAnalyzer eingespielt werden. Durch die Einspielung
       der Lizenz wird ein Neustart ausgeführt. Danach kann wiederum eine Kontrolle auf dem FortiAnalyzer über CLI durchgführt 
       werden und es darf dabei kein "expiration date" unter "Valid License Type" angezeigt werden:
       
       # diagnose debug vminfo
        Valid License Type
        Table size:
        Licensed Storage: 8392GB
        Licensed GB/Day: 26

Diese Ankündigung wurde von Fortinet unter Customer Support Bulletin CSB-160908-1herausgegeben!

FortiManager and FortiAnalyzer Managed Device Licensing

Basierend auf FortiManager und/oder FortiAnalyzer 5.2.8 wird die Kalkulation des Device Counts dh. die Kalkulation der Anzahl Devices nicht korrekt durchgeführt. Dadurch wird unter Umständen verhindert das neue Device hinzugefügt werden können. Aus diesem Grund wurde der Release 5.2.8 des FortiAnalyzers sowie FortiManagers zurückgezogen.

       Affected Products:
       FortiManager 5.2.8 (build 777)
       FortiAnalyzer 5.2.8 (build 777)

       Solution:
       Der FortiManager 5.2.9 (build 779) and FortiAnalyzer 5.2.9 (build 779) sind für einen neuen
       Release geplant für den 21. September 2016!

Upgrading FortiSandbox to 2.3.1 build 0194 may result in configuration loss

Es kann vorkommen, dass die Konfiguration verloren geht, wenn man die FortiSandbox auf das FortiOS 2.3.1 (Build 0194) upgradet.

       Affected Products:
       FortiSandbox OS 2.3.1

       Solution:
       Das FortiSandbox 2.3.1 wurde von der Fortinet Supportwebseite entfernt.
       Die Kunden werden aufgefordert, auf den Upgrade für FortiSandbox 2.3.2 vom 4.November zu warten. 
       Alle Kunden die bereits einen Upgrade auf 2.3.1 ausgeführt haben, sollen sich an den technischen 
       Support wenden.

Diese Ankündigung wurde von Fortinet unter Customer Support Bulletin CSB-161031-1 herausgegeben!

FortiGate FortiOS URL List Exempt Entries & Certificate Inspection in 5.4.2

In FortiOS 5.4.2 kann ein URL Filter innerhalb WebFilter mit der "action" "exempt" konfiguriert werden. Diese Konfiguration bedeutet Folgendes: Durch "exempt" wird für die konfigurierte Seite zB "*.apple.com" keine UTM Features durchgeführt wie zB AntiVirus. Wird in diesem Zusammenhang der WebFilter benutzt mit der SSL-Inspection Certificate Inspection kommt es zu Problemen dh. der Traffic wird für diese konfigurierten Seiten im URL Filter durch "exempt" geblockt. WebFilter im Zusammenhang mit Flow-Inspection oder Deep-Inspection sind nicht betroffen.

       Affected Products:
       FortiGate FortiOS 5.4.2

       Workaround:
       Fortinet stellt über einen Support Case Anfrage betreffend diesem Problem einen speziellen Build zur Verfügung.
       Dieser spezielle Build ist jedoch nur über ein Technical Support Ticket erhältlich. Damit das Technical Support
       Ticket so schnell als möglich verarbeitet wird empfehlen wir beim Erstellen des Ticket P3 zu wählen und auf den
       Bug zu vewweisen:
       
       Customer Support Bulletin CSB-161108-1

       Workaround
       Wenn dieser spezielle Build keine Option darstellt kann folgender Workaround durchgeführt werden:
       
       Alle URL Filter Einträge die mit Wildcard konfiguriert wurden dh. zB "*.apple.com" müssen unter "action" auf
       "monitor" gesetzt werden da "monitor" den Wildcard erlaubt und ein Log Eintrag erstellt. Möchte man kein Log
       Eintrag erstellen wenn die Seite basierend auf dem Wildcard aufgerufen wird muss "allow" gewählt werden. Durch
       diese Konfiguration werden jedoch diese konfigurierten Seiten zB "*.apple.com" nicht mehr von den UTM Features
       ausgeschlossen.

       Solution:
       Der Bug wird im FortiOS 5.4.3 behoben!

Diese Ankündigung wurde von Fortinet unter Customer Support Bulletin CSB-161108-1 herausgegeben!

FortiGate 2016 December 31st Leap Second

       Affected Products:
       Product: All products with an NTP client

Am 31.Dezember 2016 wird die letzte Minute im Jahr 61 Sekunden dauern. Diese Massnahme wird wegen der Erdumdrehung initziert (Infos auch unter https://de.wikipedia.org/wiki/Schaltsekunde) . Alle NTP-Server müssen diese Schaltsekunde weiter leiten. Dies geschieht indem die NTP Server eine Leap Indicator(LI) Warnung an die Clients senden. Der NTP-Client ist für die Änderung seiner Uhr zuständig. Ein NTP Server kann die LI-Warnung weiterleiten oder ignorieren. Die folgenden Tabellen gibt es eine Zusammenfassung welche Fortinet Produkte über einen NTP-Server verfügen und welche eine LI-Weiterleitungs Funktion verfügen:

       Product              Leap Indicator Capitablity
       -----------------------------------------------
       FortiGate            Forward

Alle anderen Fortinet Produkte haben keine NTP Server implementation. Die folgende TAbelle gibt eine Übersicht, welche Fortinet Produkte einen NTP-Client besitzen und wie sein verhalten des LI-Nachrichten empfang gehandelt wird:

       Product              SW Version        Impact and Mitigation
       ------------------------------------------------------------
       FortiGate            4.3 and later
       
       FortiManager         4.0 and later
       
       FortiAnalyzer        4.3.8 and later    Leap indicator wird ignoriert. Die Systemzeit kann bis zur nächsten NTP-Synchronisation 
                                               eine Sekunde vor der UTC Zeit sein. Dies wäre in einer Zeitspanne von maximal einer Stunde 
                                               der Fall.
       
       FortiWeb             all
       
       FortiMail            all
       
       Forti AP             all                Hat keinen NTP Client. Die Zeit wird vom wireless Controller übergeben
       
       FortiAuthenticator   all                Leap indicator wird ignoriert. Die Systemzeit kann bis zur nächsten NTP-Synchronisation 
                                               eine Sekunde vor der UTC Zeit sein. Dies wäre in einer Zeitspanne von maximal zwei Munuten 
                                               der Fall.

      Solution:
      Es sind keine störende Systemauswirkungen bekannt bei den oben aufgeführten Fortinetprodukten und dessen Software Versionen.
      Es konnte eine 1 Sekunden Taktdrift bei den Produkten beobachtetn werden, welche die LI Nachricht ignorierte. 

Diese Ankündigung wurde von Fortinet unter Customer Support Bulletin CSB-161130-1 herausgegeben!

Fortinet FWLC configuration loss after upgrading

Bei den Wireless Controllerlösungen von Fortinet kann es vorkommen, dass die Konfiguration nach einem Upgrade auf die Version SD 8.1-3-2 verloren geht. Ausgelöst wird dies, wenn spezielle Sonderzeichen in der Konfiguration von PSK, Radius Schared Secret oder Local Guest Credentials enthalten sind. Als Sonderzeichen zählen zum Beispiel:

       () &;: @ #

       Affected Products:  
       FortiWLC 50D,FortiWLC 200D, FortiWLC 500D, MC6000, MC4200 (with or without 10G Module), MC4200-VE, MC3200, MC3200-VE, MC1550 und MC1550-VE

       Affected OS
       SD 8.1-3-2

       Workaround:
       Wenn ein Upgrade auf SD 8.1-3-2 durchgeführt werden soll, müssen alle Sonderzeichen aus der Konfigurationsdatei entfernt werden. 
       Das bedeutet, die Konfigurationsdatei muss vor dem Update editiert werden und allfällige Sonderzeichen entfernt werden. 
       Die Datei speichern und erst dann upgraden.

       Remedy:
       Im Maintenance Release 8,1 MR welches voraussichtlich im Q2 2017 veröffentlicht wird, soll dieses Problem behoben werden.     
       Die Versionen 8.3 und 8.2 sind von diesem Ipmact nicht betroffen.

Diese Ankündigung wurde von Fortinet unter Customer Support Bulletin CSB-170127-1 herausgegeben!

FortiSandbox 3000E Port 5 and 6 Swapped

Bei FortiSandbox 3000E Geräte, welche eine Serienummer im folgenden Bereich haben, sind die Port 5 und Port 6 vertauscht. Die Anschlüsse auf der Rückseite des Gerätes lesen sich von links nach rechts mit 6 und 5 anstatt 5 und 6.

       Potentially Affected Products:
       
       FortiSandbox 3000E mit Serienummern in den folgenden Bereichen: 
       
       FSA3KE3R16000039 und kleiner
       FSA3KE3R17000014 und kleiner

       Potentially Affected OS:
       
       v2.3.2 eingeführt. Das Betriebssystem ist in diesem Sinne nicht betroffen, da es sich um ein Port-Label Problem handelt.

Diese Ankündigung wurde von Fortinet unter Customer Support Bulletin CSB-170201-1 herausgegeben!

FortiGate 1500D Generation 1 Model SSD Sleep mode

In den FortiGate 1500D Generation 1 Modellen hat es in der SSD-Controller Firmware ein potentielles Problem, welches den Effekt hat, dass die SSD nach dem Einschalten des Sleep Modus nicht mehr verfügbar sind. Ist dies der Fall wird folgende Meldung auf der Konsole (CLI) ausgegeben:

       EXT3-fs error (device sd(8,17)): ext3_readdir

Dieses Phänomen tritt hauptsächlich bei FortiGate 1500D welche in einer Cluster Konfiguration sind. Dies weil das Slave oder Backup Gerät längere Zeit wenig oder gar keine SSD Aktivität aufweist und dadurch in den Sleep Modus geht.

       Potentially Affected Products:
       FortiGate-1500D Gen 1  -  Part number P12917-04 & 05

       Affected OS:
       All FortiOS versions.

       Workaround:
       Um die SSD wieder zu aktivieren ist ein Hardware reboot notwendig.

       Resolution:
       Es ist ein Software Update verfügbar, welches verhindert, dass dieses Problem auftritt. 
       Das Update kann über den technischen Support von Fortinet bezogen werden.
       Das Update wird auch im GA Patch FortiOS 5.4.4 (voraussichtlich im Februar 2017) und Patch 5.2.11 (Q3 2017) enthalten sein.

Wie überprüfe ich die Generation der Firewall? Leider ist es nicht möglich die Generation selber herauszufinden. Um ganz sicher zu gehen, muss bei Fortinet ein technisches Ticket eröffnet werden. Damit es effizient vorwärts das Ticket auf P3 eröffnen und geht folgende Daten von den potentiell betroffenen Firewalls mitgeben:

       # get status system

Diese Ankündigung wurde von Fortinet unter Customer Support Bulletin CSB-170130-1 herausgegeben!

FortiGate 9xE and FortiHypervisor Clock Signal Degrades Over Time

Es existieren FortiGate Geräte, bei welchem sich über die Zeit das Taktsignal verschlechtert. Dies kann zu Fehlern beim Systemstart oder zu Betriebsfehlern führen. Bei Geräten welche diese Fehlerhafte Komponente verwenden wird, wird die Möglichkeit erhöht, dass nach zirka 3 Jahren diese ersetzt werden müssen.

       Possibly Affected Products:
       
       - FortiGate 90E   : P19061-03
       - FortiGate 91E   : P19071-03
       - FortiHypervisor : P19079-03
       Geräte mit der oben aufgeführten part Number und rework label  EX4893-xx sind nicht betroffen.
       
       Die Partnummer und das work Label kann folgendermassen herausgefunden werden:
       1. Die Partnummer kann über die CLI mit dem Kommando "get sys status" ausgelesen werden:
       
          FGT90E4Q16000020 # get sys status
          Version: FortiGate-90E v5.4.1,build5461,160627 (GA)
          --- abbreviated---
          System Part-Number: P19061-03
       
       2. Auf der Unterseite des Gerätes befindet sich neben dem grossen Fortinet Produkteaufkleber (Modell, Serienummer usw), 
          eine zweite Etikette welche die Rework Number (EX4893-xx) enthält.

       Remedy:
       Es ist nicht notwendig, die Geräte sofort zu Ersetzen. Fortinet steht aber zu seinen Verpflichtungen und ersetzt 
       betroffene Geräte wen dies nötig ist. Der Kunde wird von Fortinet unterstützt bei Fragen oder wen es impact auf den Betrieb gibt. 
       Es wird mit dem Kunden zusammen die bestmögliche Lösung erarbeitet.

Diese Ankündigung wurde von Fortinet unter Customer Support Bulletin CSB-170207-1 herausgegeben!

LTE MODEM interfaces may fail to come up on FortiGate E Series Models

Wenn ein LTE Modem unter FortiOS 5.4.4 auf den E Serie Modellen über USB Schnittstelle angeschlossen ist, wird diese nicht gestartet.

       Potentially Affected Products:
       FortiGate / FortiWiFi:
       FGT-60E, FGT-61E, FWF-60E, FWF-61E, FGT-80E, FGT-80E-POE, FGT-81E, FGT-81E-POE, FGT-100E, FGT-101E, FGT-100EF

       Affected OS:
       FortiOS 5.4.4

Um zu überprüfen ob die Installation von diesem Issue betroffen ist, kann folgendes über Kommandozeile ausgeführt werden:

       # get sys status
       Version: FortiGate-61E v5.4.4,build6003,170207 (GA)
       FGT61E4Q16001181 # diag sys lte-modem info
       LTE Modem configuration enabled!
       LTE Modem device initialized.
       Manufacturer: Novatel Wireless Incorporated
       Model: Ovation MC679 Card
       MEID: 012798005296558
       USB Modem Interface: down

       Workaround:
       Das Issue wurde gelöst anhand eines special Release das über den Fortinet Technical Support erhältlich ist.
       Ist man von diesem Issue betroffen und man möchte diesen special Release installieren muss man um diesen
       special Release zu erhalten ein Fortinet Technical Support Ticket eröffnen.

Nachdem der special Release eingespielt wurde, kann wiederum eine Ueberprüfung über Kommandozeile durchgeführt werden:

       # get sys status
       Version: FortiGate-61E v5.4.4,build6046,170217 (GA)
       
       # diag sys lte-modem info
       LTE Modem configuration enabled!
       LTE Modem device initialized.
       Manufacturer: Novatel Wireless Incorporated
       Model: Ovation MC679 Card
       MEID: 012798005296558
       USB Modem Interface: up

Diese Ankündigung wurde von Fortinet unter Customer Support Bulletin CSB-170222-1 herausgegeben!

SSL-VPN Standalone Client Support

Fortinet unterstützt den Microsoft Windows SSL-VPN Standalone Client nicht mehr länger. Die Linux Version wird weiterhin auf dem Fortinet Development Network zum Download zu Verfügung gestellt. (https://fndn.fortinet.com).

       Betroffene Produkte:
       SSL-VPN standalone client for Microsoft Windows.

       Betroffene OS-Versionen:
       Alle SSL-VPN Standalone Client Versionen.
       Die letzte Unterstütze Version:
       • SSL-VPN standalone client v4.3 B2333 supported by FortiOS 5.2.11 und 5.4.4

       Lösung:
       FortiClient herunterladen und mit der VPN Komponente installieren. Die Verbindung kann dann mit SSL-VPN aufgebaut werden:
       

Diese Ankündigung wurde am 23.06.2017 von Fortinet unter Customer Support Bulletin CSB-170616-1 herausgegeben!

FWLC 8.3.2 code will be released for WLC-VM & WLM only

Die aktuelle Software-Version für die Fortinet Wireless Controller Solution ist 8.3.2. Fortinet wird diese Version nur für WLC-VM und WLM-Plattformen freigeben. Das heisst WLC 8.3.2 wird nur für virtuelle Maschinen (VMs) verfügbar sein und steht für Hardware Geräte nicht zur Verfügung.

       Folgende WLC-VM Versionen werden Unterstützt:
       • FWC-VM-50
       • FWC-VM-200
       • FWC-VM-500
       • FWC-VM-1000
       • FWC-VM-3000

Die nächste WLC Software Version welche VMs und Hardware Geräte Unterstützt wird die 8.3.3 sein. Die WLM Version 8.3.2 ist für Hardware Geräte und VMs verfügbar. Details und Bekannte Einschränkungen können aus den Release Notes entnommen werden:

       • Datei:FortiWLC-ReleaseNotes-8.3-2.pdf
       • Datei:FortiWLM-ReleaseNotes-8.3-2.pdf

       Betroffenes OS:
       • SD 8.3.2

Diese Ankündigung wurde am 29.06.2017 von Fortinet unter Customer Support Bulletin CSB-170626-1 herausgegeben!

FortiWLC-SD RADIUS EAP-TLS failing in 8.3-1GA

Wireless Clients mit einem Fragmentierten EAP-TLS Zertifikat wird nicht erlaubt, auf den Kontroller zu verbinden, wen auf dem Kontroller die Version 8.3-1 GA benutzt wird. Dieses Problem tritt auf wenn die Clients oder APs fragmentierte Zertifikate mit EAP TLS benutzen.

       Potentiell betroffene Systeme:
       • FortiWLC-SD (All MC "ex-Meru" Controller and FortiController WLC)
       Potentiell betroffenes OS:
       • FortiWLC-SD 8.3-1GA

       Lösung:
       Ein Patch ist verfügbar um diesen Umstand zu beheben. Um den Patch zu erhalten kann man sich an den technischen Support von Fortinet wenden.
       Die Störung wird im Release 8.3-3 vom FortiWLC-SD behoben.
       
       • Patchname : forti-8.3-1GAbuild-1-patch-BUG_0438540_8.3-1GA-1-generic-rpm

Diese Ankündigung wurde am 14.07.2017 von Fortinet unter Customer Support Bulletin CSB-170711-1 herausgegeben!

DoS-Schwachstelle und XSS-Schwachstelle im FortiOS

Durch zwei Schwachstellen im FortiOS ist es möglich, dass ein nicht authentisierter Angreifer eine Denial-of-Service (DoS) Angriff oder ein Reflected-Cross-Site-Scripting (XSS) Angriff durchführen kann.

FortiOS DoS on webUI through 'params' JSON parameter

      Beschreibung:
      Ein authentifizierter Benutzer kann über speziell generierten Payload zum ‘params’ Parameter 
      über die JSON WEB API (URLs mit /json) übergeben. Dies kann dazu führen, das dass Webinterface 
      vorübergehend nicht mehr reagiert.
      
      Impact:
      Denial of Service (DoS)
      
      Betroffene FortiOS:
      • FortiOS 5.4.0 bis 5.4.5
      
      Lösung:
      Upgraden auf FortiOS 5.4.6 oder höher
      
      Referenz:
      • CVE-2017-14182   -> https://fortiguard.com/psirt/FG-IR-17-206
      
      Risiko Einschätzung:
      Stufe 4 - Hoch

FortiOS Web GUI logindisclaimer redir parameter XSS vulnerability

      Beschreibung:
      Es ist eine Schwachstelle im XSS beim das Web GUI "Login Disclaimer" im Redir-Parameter 
      Aufgetreten. Potentiell ist es möglich, von einem externen, nicht authentifizierten Angreifer
      dem Opfer eine URL zu senden, wenn sich das Opfer in einer offene Web-GUI Sitzung befindet. 
      Dieser kann mit einer manipulierten URL ermöglichen, das im Security Context des Browsers beliebige 
      JavaScript Codes ausgeführt werden können. 
          
      Impact:
      Cross-site scripting (XSS)
             
       Betroffene FortiOS:
      • FortiOS 5.4.0 bis 5.4.5
      • FortiOS 5.6.0
      
      Lösung:
      • Branch 5.4 upgraden auf 5.4.6 oder höher
      • Branch 5.6 upgraden auf 5.6.1 oder höher
      
      Referenz:
      • CVE-2017-7733    -> https://fortiguard.com/psirt/FG-IR-17-113
      
      Risiko Einschätzung:
      Stufe 4 - Hoch

Weitere Infos können unter folgenden Links erfahren werden:

• https://www.heise.de/security/meldung/Sicherheitsluecken-in-FortiOS-mit-hohem-Angriffsrisiko-3873331.html
• https://www.cert-bund.de/advisoryshort/CB-K17-1805

FortiClient 5.6.1 Installation Package Failure

Beschreibung:
Beim Erstellen eines FortiClient 5.6.1-Installationspakets, welches vom Enterprise Management Server (EMS) erstellt wurde, tritt ein Fehler im erstellten Paket auf. Das Problem tritt auf, wenn der EMS den FortiClient 5.6.1 aus dem FortiGuard-Netzwerk herunterlädt. Falls der Fehler auftritt zeigt EMS folgende Fehlermeldung:

      "The installer has encountered an unexpected error installing this package. 
      This may indicate a problem with this package. The error code is 2711.”

Betroffene Produkte:

• FortiClient 5.6.1

Remedy:
FortiClient 5.6.2 wird dieses Problem beheben. Der FortiClient 5.6.2 wurde am 13. November 2017 veröffentlicht.

Diese Ankündigung wurde von Fortinet unter Customer Support Bulletin CSB-171110-1 herausgegeben!

FortiWebManager 5.8.0 improperly handles admin login access Der FortiWebManager Version 5.8.0 hat eine Schwachstelle, welche es einem Angreifer von Remote aus erlaubt, sich durch Eingabe von beliebigen Zeichen im Passwortfeld Admin Rechte zu erlangen. Grund ist eine unzureichende Passwortüberprüfung. Diese Sicherheitslücke ist nur auf dem FortiWebManager Version 5.8.0 vorhanden. Impact: • Falsche Zugriffskontrolle Betroffene Systeme: • FortiWebManager 5.8.0 Lösung: Wer den FortiWebManager auf der Version 5.8.0 betreibt, muss auf die Version 5.8.1 upgraden

CAPWAP Offloading schlägt fehl, wenn die DTLS-Verschlüsselung auf Clear Text gesetzt ist. Beschreibung: Die CAPWAP-Auslagerung schlägt fehl, wenn die DTLS-Verschlüsselung auf Klartext eingestellt ist. Dies tritt nur dann auf, wenn sich ein Router zwischen dem Fortinet AP und der FortiGate befindet. Es gibt keine Probleme, wenn kein Router zwischen dem Fortinet AP und der FortiGate Einheit existiert. Betroffene Systeme: • Alle FortiGate-Modelle, welche eine Wireless-Controller Funktionalität unterstützen • Alle FortiAP Modelle. Betroffenes Betriebssystem: • FortiOS 5.6.3 Workaround: Option 1: Deaktiviere das CAPWAP Offloading auf der FortiGate. # config system npu # set capwap-offload deaktivieren # end Option 2: Verschieben auf die Bridged Data Ebene. Dieser Workaround erzwingt den drahtlosen Datenverkehr über den lokalen Switch und umgeht die FortiGate-Einheit. Diese Ankündigung wurde am 21.02.2018 von Fortinet unter Customer Support-Bulletin CSB-180220-1 herausgegeben!

AP832/822 upgrade failure Das Ziel dieses Dokuments ist es, das Bewusstsein für ein bekannte Probleme in Erinerung zu rufen das wen Meru Legacy Access Points Model AP832 oder AP 822 von derVersion 8.3-3 auf eine höhere Firmware upzugraden auftritt. Das Upgrade würde zu einer Image-Korruption (runtime1) führen. Dies ist auf ein Ressourcenleck in der Version 8.3-3 des Codes zurückzuführen, das in späteren Builds behoben wird. Betroffene Produkte: • Meru Legacy Access Point Modelle AP832 und AP822 Betroffenes Betriebssystem: • System Director 8.3-3 Lösung: Folgende Upgrade Prozedur muss angewendet werden, um diese Einschränkung zu beseitigen: NOTE Diese Vorgehensweise gilt nur, wenn Ihr System auf SD 8.3-3 GA ohne KRACK Vulnerability Combined Patch installiert ist. Wenn der KRACK-Patch bereits installiert ist, muss diese Massnahme nicht durchgeführt werden. Mehr über KRACK: https://fortiguard.com/psirt/FG-IR-17-196 Schritt 1 Überprüfen ob die APs den KRACK Patch installiert haben: Um dies zu übeprüfen muss auf dem Kontroller der folgender Befehl in der CLI ausgeführt werden: # show ap [ID] # show ap 1 # Access Points # AP ID : 1 # AP-Name: AP-1 # MAC-Adresse: 00:0c:e6:11:27:6f # Runtime Image Version : 8.3-3GAbuild-0-BUG44686894-1 Wenn die Runtime Image Version übereinstimmt, muss der Schritt 2 nicht durchgeführt werden. Schritt 2 Upgrade auf Version 8.4 oder höher mit folgenden Empfehlungen: Als erstes sicherstellen, dass die APs eine Betriebszeit von weniger als 5 Stunden haben. Wenn die Betriebszeit höher ist die APs neu starten. Es empfiehlt sich ein Backup der laufenden Konfiguration durchführen vor dem Update durchzuführen. Upgraden der Systeme, dabei immer die Release Notes konsultieren. Sonderfälle: Wenn ein 64-Bit-Controller (Hardware-Modelle 3000D, 1000D. Virtual 50D, 200D, 500D, 500D, 3000D und 1000D) im Tunnel-Modus betrieben wird, ist ein AP-Neustart vor dem Upgrade nicht erforderlich. Wenn der Controller im Bridge-Modus ist, muss vor dem Upgrade ein Neustart durchgeführt werden. Wenn mehr als 150 APs im Betrieb sind, ist es empfehlenswert, die Auto-AP-Upgrade Funktion auszuschalten. Aktualisiere die APs in Stapeln wie in den Release Notes beschrieben ist. Diese Ankündigung wurde am 15.03.2018 von Fortinet unter Customer Support-Bulletin CSB-180312-1 herausgegeben!

Access Points not adding VLAN tags to some packets Es gibt ein bekanntes Problem bei welchem die Access Points keine VLAN-Tags zu einigen Paketen hinzufügen welche gegen das Ethernet Netzwerk fliesst. Dies kann auftreten, wenn in der ESS-Profilkonfiguration der Modus "Data plane" als "Bridged" gewählt ist und VLAN als statisch konfiguriert ist (Configured VLAN only). Betroffene Produkte Alle Access Points der Serie: FAP-U42x FAP-U 32x AP832 AP822 welche mit einem Fortinet Controller Wireless (FWLC) verbunden sind. Betroffenes Betriebssystem: SD 8.3-3 SD 8.4 Lösung: Der Patch ist nur auf SD 8.4 verfügbar. Kunden welche mit SD 8.3-3 arbeiten, müssen vor der Installation des Patches auf SD 8.4 aktualisieren. Der Patch kann über ein Technical Support Ticket angefordert werden: http://www.fortinet.com/support/contact_support.html Wenn man auf der Version 8.3-3 bleiben möchten, kann mit dem folgende temporäre Workaround gearbeitet werden: Auf den Controller über SSH in die CLI verbinden Konfiguration über CLI # conn ap [AP-ID] # conn ap 2 # ap2> sys perf off # ap2> exit Dieser Patch-Fix wird Teil des nächsten Maintenance-Release SD 8.4.1 sein. Diese Ankündigung wurde am 28.03.2018 von Fortinet unter Customer Support-Bulletin CSB-180326-1 herausgegeben! https://support.fortinet.com/information/bulletin.aspx

FortiAnalyzer 200F wird mit unformatierter Disk ausgeliefert Einige FortiAnalyzer 200F-Geräte wurden möglicherweise mit einer noch nicht formatierten Festplatte ausgeliefert. Während des Bootvorgangs kann der FortiAnalyzer mit einer unformatierten Festplatte die Zeile anzeigen: /var not mounted Nach dem Booten wird zwar die Festplatte als verfügbar angezeigt, wenn diag sys disk info ausgeführt wird, aber der gesamte verfügbare Speicherplatz, der durch get system status angezeigt wird, ist deutlich geringer als erwartet. Konfiguration über CLI FAZ200F # get system status ... Disk Usage  : Free 1.26GB, Total 1.89GB Betroffene Produkte FortiAnalyzer 200F Lösung: Formatieren der Disk auf dem FortiAnalyzer. Dies kann über die CLI folgendermassen durchgeführt werden: Konfiguration über CLI execute format disk FAZ200F # execute format disk This operation will format hard disk to ext4 filesystem. Do you want to continue? (y/n)y Überprüfe nach dem Neustart den gesamten Speicher, um festzustellen, ob dieser sich erhöht hat. FAZ200F # get system status ... Disk Usage  : Free 3664.83GB, Total 3667.43GB Dieser Patch-Fix wird Teil des nächsten Maintenance-Release SD 8.4.1 sein. Diese Ankündigung wurde am 14.06.2018 von Fortinet unter Customer Support-Bulletin CSB-180612-1 herausgegeben! https://support.fortinet.com/information/bulletin.aspx

FortiManager Benutzung des DeviceManager und mehreren VDOMs Policies Re-Installation Problembeschreibung: Der Devicemanager auf einem FortiManager mit dem OS 6.2.2, kann einige der FortiGate-VDOM-Konfigurationen, inklusive Routen, Firewallregeln und Firewallobjekte, fälschlicherweise bereinigen, wenn die Funktion "Re-Install Policy" verwendet wird, um Konfigurationsänderungen auf ein FortiGate mit mehreren VDOMs zu übertragen. Betroffene Produkte FortiManager mit OS 6.2.2 Workaround: Verwenden Sie die Funktion "Richtlinie zur Neuinstallation" nur für einen einzigen VDOM, nicht für mehrere VDOMs. Die Verwendung des "Installationsassistenten" hat keinen Einfluss auf eine Installation für ein einzelnes VDOM- oder mehrere VDOM-Szenarien. Benutze das Features Re-install Policy nur für eine einzelne VDOM und nicht für über mehrere VDOMs. Das Benutzten des Install Wizard hat keinen Einfluss auf die Installation für einzelne VDOM oder mehrere VDOM Szenarien. Lösung: Das Problem soll im FortiManager 6.2.3 Patch behoben. Diese Ankündigung wurde am 15.10.2019 von Fortinet unter Customer Support-Bulletin CSB-191015-1 herausgegeben! https://support.fortinet.com/Information/Bulletin.aspx

FortiOS 6.2.4 - DoS Policy blocken Pakette - CSB-200529-1 Problembeschreibung: Nach dem Upgrade auf das FortiOS 6.2.4 können DoS Policies, welche auf Interfaces konfiguriert sind den Datentraffic droppen, welche als Ziel die FortiGate selbst haben. (Beispiel VIPs oder VPNs welche auf die FortiGate terminieren) Dies kann auftreten wenn die DoS Policy auf drop oder monitor konfiguriert ist. Potentiell betroffene Produkte FortiGate OS 6.2.4 Workaround: DoS Policy auf den Interfaces deaktivieren. Wie konfiguriere ich eine DoS Regel auf der FortiGate? ACHTUNG!!! Diese Aktion wird den Schutz für die FortiGate verringern und soll deshalb nur als Workaround benutzt werden, bis ein entsprechender Bug-Fix verfügbar ist! Lösung: Das Problem wird im FortiOS 6.2.5 behoben. (Veröffentlichung noch nicht bekannt) Es besteht ein Build Hot Fix welcher über den technischen Support von Fortinet eingefordert werden kann. Hierfür ist ein L1 Ticket über das Support-Portal zu eröffnen. Diese Ankündigung wurde am 29.05.2020 von Fortinet unter Customer Support-Bulletin CSB-200529-1 herausgegeben! https://support.fortinet.com/Information/Bulletin.aspx

Bootfehler beim FortiOS 6.4.2 und FortiGate FG-100F & FG-101F - CSB-200820-1 Problembeschreibung: Wenn eine FortiGate FG-100F oder FG-101F vom FortiOS 6.4.0 oder 6.4.1 auf 6.4.2 upgegradet wird, kann das Gerät möglicherweise nicht booten und in einem Rebooting-Loop hängen bleiben. Potentiell betroffene Produkte: FortiGate FG-100F FortiGate FG-101F Potentiell betroffene Software: FortiGate OS 6.2.4 wenn von der Version 6.4.0 oder 6.4.1 upgegradet wird (siehe noch Hinweis zu unterst im Artikel). Workaround: Wenn der Interfacename "fortilink" an zwei Stellen in der Konfiguration verwendet wird, kann die FortiGate 100F/101F auf dieses Problem stossen, wenn ein Upgrade Versuch auf 6.4.2 durchgeführt wird. Falls dies nicht der Fall ist, kann das Gerät aktualisiert werden, ohne dass dieses Problem auftritt. Prüfen Sie anhand der CLI, ob die Schnittstelle "fortilink" an zwei Stellen vorhanden ist, wie unten dargestellt: Folgendermassen kann dies via CLI geprüft werden, ob das Interface "fortilink" an zwei Orten vorhanden ist: FortiGate-101F # config system virtual-switch FortiGate-101F (virtual-switch) # show config system virtual-switch edit "lan" set physical-switch "sw0" config port edit "port1" next edit "port2" ********************* edit "port19" next edit "port20" next end next edit "fortilink" set physical-switch "sw0" next end FortiGate-101F # show system interface edit "fortilink" set vdom "root" set fortilink enable set ip 169.254.1.1 255.255.255.0 set allowaccess ping fabric set status down set type aggregate set member "x1" "x2" set snmp-index 12 set lacp-mode static Einfacher geht es natürlich mit folgendem Befehl: show | grep -f fortilink Das "Fortilink"-Interface kann nicht dynamisch aus der FortiGate entfernt werden, und die Konfigurationsdatei muss auf einen lokalen PC heruntergeladen, mit einem Texteditor bearbeitet und dann wieder auf die FortiGate hochgeladen werden. Dies kann man folgendermassen durchführen: Die Konfiguration mit der Backupfunktion unverschlüsselt herunterladen. Konfigurationsdatei mit einem guten Texteditor öffnen. Die Zeile config system virtual-switch Die folgenden Zeilen aus config system virtual-switch entfernen edit "fortilink" set physical-switch "sw0" next Abspeichern der Konfigurationsdatei als .conf Konfiguration mit der Restore-Funktion wieder einspielen Upgraden der FortiOS Version auf 6.4.2 B1723 Lösung: Das Problem wird im FortiOS 6.4.3 behoben (Veröffentlichung voraussichtlich im Oktober 2020). Das Problem tritt nicht auf, wenn direkt von einer FortiOS 6.2.x Version upgegradet ist. Auch tritt das Problem nicht auf wenn die Konfiguration vom 6.4.x ursprünglich aus einer Konfigurationsversionsdatei der Version 6.2.x upgegradet wurde. Diese Ankündigung wurde am 28.08.2020 von Fortinet unter Customer Support-Bulletin CSB-200820-1herausgegeben! https://support.fortinet.com/Information/Bulletin.aspx

CAPWAP Traffic wird bei WiFi mit getunnelten SSIDs nach dem Upgrade auf FortiOS 6.4.3 verworfen - CSB-201027-1 Problembeschreibung: Nach einem Upgrade auf FortiOS 6.4.3 können Probleme auftretten, wenn eine FortiAP über ein VLAN Interface verwaltet wird. Wenn der FortiAP im Tunnel Modus betrieben wird , kann es passieren, das es Probleme mit dem weiterleiten des CAPWAP Traffics von der FortiGate zum FortiAP gibt. Der CAPWAP Traffic, welcher auf die NP6 und NP6XLite ASICs ausgelagert wird, wird für getunnelte SSIDs verworfen. Dieses Problem tritt nicht auf, wenn der FortiAP auf der FortiGate von einem nicht VLAN Interface verwaltet wird. Potentiell betroffene Software: FortiGate OS 6.4.3 Workaround: Deaktivieren des offloadings der CAPWAP Sessions. Standartmässig werden verwaltete FortiAP- und FortiLink-CAPWAP-Sessions auf die NP6 oder NP6XLite ASICs ausgelagert. Mit folgemdenm Befehl kann man das Offloading der CAPWAP Sessions deaktivieren: config system npu set capwap-offload disable end Lösung: Das Problem wird im FortiOS 6.4.4 behoben Diese Ankündigung wurde am 28.10.2020 von Fortinet unter Customer Support-Bulletin CSB-201027-1 herausgegeben! https://support.fortinet.com/Information/Bulletin.aspx

FortiGuard Webserver nicht erreichbar Problem Beschreibung: Wir haben viele Meldungen bekommen, dass wen auf FortiOS 6.4 upgegradet wird, es Probleme gibt die Webfilter Server der FortiGuard zu erreichen. Dadurch werden in den Firewall Regeln, welche einen Webfilter oder DNS Filter aktiv haben, diverse Anfragen verworfen. Dies liegt daran, dass die Anfrage einer Webseite welche Kategorie diese hat die FortiGuard Server keine Antwort senden und so diese Anfrage als unrated eingestuft wird. Je nach dem wie man jetzt den Webfilter/DNS-Filter konfiguriert hat, wird die Aktion ausgeführt, welche bei unrated konfiguriert wurde: Wenn man auf FortiOS 6.4 upgradet wird der Kommunikationsport von der FortiGuard von udp8888 oder udp53 auf tcp443 geändert. Diesen Port kann man im Webgui nicht mehr anpassen und muss über die CLI zurück auf udp 8888 oder udp 53 gesetzt werden. Workaround config system fortiguard set fortiguard-anycast disable set protocol udp set port 8888 end In gewissen Situationen musste die FortiGate neu gestartet werden, dass der Effekt eintraf. Es ist darauf zu achten, dass bei einer allfälligen Perimeter Firewall ausgehend der Port UDP-8888 freigeschalten werden muss. Fortinet ist dieses Problem bekannt und es wird daran gearbeitet eine Lösung zu finden. Stand 3.11.2020

FortiOS 7.6.3 SSL-VPN to IPsec VPN Migration - CSB-250416-1 Beschreibung: Mit der Einführung und Veröffentlichung von FortiOS 7.6.3 hat Fortinet die Unterstützung für VPNs konsolidiert, wobei bestehende SSL-VPN-Tunnelmodus-Konfigurationsoptionen nicht mehr funktionieren werden. Um ununterbrochenen Fernzugriff zu gewährleisten, musst Du Deine SSL-VPN-Tunnelmodus-Konfiguration vor dem Upgrade auf FortiOS 7.6.3 auf IPsec-VPN migrieren. Wenn Du den SSL-VPN-Webmodus verwendest, bleiben Deine bestehenden Konfigurationen nach dem Upgrade erhalten und funktional, da sie als agentenloses VPN betrieben werden. Es ist entscheidend, dass Du vor dem Upgrade auf FortiOS 7.6.3 die notwendigen Schritte unternimmst, um Deine VPN-Konfiguration anzupassen. Fortinet hat umfassende Dokumentationen und Leitfäden bereitgestellt, die Dir dabei helfen können, diesen Übergang reibungslos zu gestalten. Stelle sicher, dass Du die Kompatibilität deiner aktuellen VPN-Lösungen überprüfst und gegebenenfalls die empfohlenen Anpassungen vornimmst. Zusätzlich bietet FortiOS 7.6.3 eine Reihe von Verbesserungen und neuen Funktionen, die die Leistung und Sicherheit Deines Netzwerks weiter steigern werden. Das Upgrade auf IPsec-VPN ist nicht nur eine Notwendigkeit, sondern kann auch dazu beitragen, Deine Netzwerkarchitektur zukunftssicher zu gestalten. Falls Du Unterstützung bei der Migration benötigst, steht Dir das ALSO-Team zur Verfügung, um Dich durch den Prozess zu führen und sicherzustellen, dass alle Deine Anforderungen erfüllt werden. Durch eine rechtzeitige und sorgfältige Vorbereitung kannst Du sicherstellen, dass der Übergang zu FortiOS 7.6.3 ohne Unterbrechungen oder Komplikationen erfolgt. Betroffene Produkte: Alle FortiGate Modelle Betroffenes FortiOS: FortiOS 7.6.3 Dokumentation Fortinet: Migration SSL-VPN zu IPsec VPN Shift + Linke Maustaste ReleaseNotes FortiOS 7.6.3 Shift + Linke Maustaste CSB-250416-1 Shift + Linke Maustaste Dokumentation in diesem Wiki: Wie konfiguriere ich ein Client to Site IPsec VPN mit IKE Version 2? Shift + Linke Maustaste add 01.05.2025 - 4Tinu