.svg "logo (2)"){kind=small}
Was die aktuelle Lage auszeichnet
Im Kern geht es um zwei unterschiedliche Sicherheitsprobleme in weit verbreiteten Netzwerk- und Verwaltungsprodukten. Bei FortiOS betrifft die Lücke das SSL-VPN und erlaubt das Auslesen vertraulicher Informationen über manipulierte HTTP-Anfragen, ohne vorherige Authentifizierung. Bei Arista VeloCloud Orchestrator On-Prem geht es um einen Zugriff auf interne Funktionen, der eigentlich höhere Rechte erfordert. Beide Fälle sind aus Sicht von Betreibern relevant, weil die CISA bereits vor Angriffen warnt und die Hersteller Updates bereitgestellt haben oder bereitstellen mussten.
Einordnung der Schwachstellen
Die FortiOS-Lücke trägt die Kennung CVE-2025-68686 und wird mit CVSS 5.3 als „mittel“ eingestuft. Betroffen sind die Zweige 6.4, 7.0, 7.2, 7.4 und 7.6. Fortinet nennt als fehlerbereinigte Versionen 7.6.2 sowie 7.4.7 und neuere; ältere Zweige müssen migriert werden. Arista bewertet die Schwachstelle in VeloCloud Orchestrator mit CVSS 10.0 als „kritisch“. Fehlerbereinigte Versionen sind 5.2.3.14, 6.1.3.4, 6.4.2.4 und 7.0.0.1. Die Hinweise zu aktiven Angriffen sind nach Angaben von Arista und CISA nicht theoretisch, sondern folgen auf beobachteten Missbrauch.
Begriffe und technische Bedeutung
Ein SSL-VPN ist ein Zugangspunkt, über den sich Nutzer sicher in ein internes Netz verbinden. Wenn eine Schwachstelle dort vertrauliche Informationen preisgeben kann, betrifft das direkt Betriebsdaten und Konfigurationen. CVE ist die eindeutige Kennung für eine Schwachstelle, CVSS bewertet die Schwere auf einer Skala. „On-Prem“ bedeutet, dass die Software im eigenen Rechenzentrum oder im eigenen Netz betrieben wird. Für VeloCloud Orchestrator heißt das: Die Installation liegt bei den Betreibern selbst, nicht in einer vollständig vom Hersteller verwalteten Umgebung. Mehr dazu finden Leser auch auf unserer Übersicht.
Was Betreiber konkret beachten müssen
Die Quelle nennt vor allem drei Punkte, die für den Betrieb wichtig sind:
- FortiOS-Admins konnten die Lücke laut Quelle bereits seit Februar abdichten.
- Für FortiOS empfiehlt der Text, jetzt nachzuziehen, falls Updates noch nicht eingespielt wurden.
- Bei Arista sollen Betreiber von On-Prem-Installationen rasch selbst aktiv werden, weil die gepatchten Versionen erst nach dem festgestellten Missbrauch erschienen sind.
Zusätzlich rät die Quelle dazu, bei später eingespielten Updates davon auszugehen, dass Geräte kompromittiert worden sein könnten, und entsprechende Untersuchungen einzuleiten. Das gilt besonders für die Arista-Schwachstelle. Einen Termin- oder Schulungsbezug finden Betreiber unter unseren Veranstaltungen.
Rolle von CISA, Herstellern und Betreibern
Die CISA meldet die Angriffe und nennt dabei die betroffenen Schwachstellennummern. Fortinet selbst gibt für seine Meldung noch keinen Hinweis auf aktuell beobachtete Exploits; das Unternehmen markiert den Status mit „No“. Arista hat seine gehosteten und verwalteten Versionen bereits gepatcht, verweist bei On-Premises-Installationen aber auf die Eigenverantwortung der IT-Verantwortlichen. Laut Quelle ist VCO standardmäßig im Netz erreichbar, und es gibt keine Konfiguration, die das unterbindet. Für Betreiber ist damit nicht nur das Patchen wichtig, sondern auch die Prüfung, ob Hinweise auf einen bereits erfolgten Zugriff vorliegen.
Fazit
Die Lage ist klar: Zwei Sicherheitslücken werden aktiv angegriffen, eine davon im FortiOS-SSL-VPN, die andere in Arista VeloCloud Orchestrator On-Prem. Bei FortiOS sind mehrere Zweige betroffen, bei Arista müssen vor allem On-Premises-Betreiber sofort handeln. Wer die Updates erst jetzt einspielt, sollte nach den Angaben der Quelle immer auch an eine mögliche Kompromittierung denken. Die zentrale Frage bleibt deshalb nicht nur, ob gepatcht wurde, sondern ob bereits Spuren eines Angriffs vorhanden sind.
Wenn Sie solche Themen mit anderen Errichtern aus dem Sicherheitsgewerbe einordnen wollen, prüfen Sie die Aufnahme in The Circle of Security Professionals. Dort geht es um den Austausch zwischen inhabergeführten Betrieben mit technischem Außendienst, die Lösungen im Bereich Sicherheitsanlagen umsetzen.
Quelle: Heise