Im Kern geht es um zwei unterschiedliche Sicherheitsprobleme in weit verbreiteten Netzwerk- und Verwaltungsprodukten. Bei FortiOS betrifft die Lücke das SSL-VPN und erlaubt das Auslesen vertraulicher Informationen über manipulierte HTTP-Anfragen, ohne vorherige Authentifizierung. Bei Arista VeloCloud Orchestrator On-Prem geht es um einen Zugriff auf interne Funktionen, der eigentlich höhere Rechte erfordert. Beide Fälle sind aus Sicht von Betreibern relevant, weil die CISA bereits vor Angriffen warnt und die Hersteller Updates bereitgestellt haben oder bereitstellen mussten.
Die FortiOS-Lücke trägt die Kennung CVE-2025-68686 und wird mit CVSS 5.3 als „mittel“ eingestuft. Betroffen sind die Zweige 6.4, 7.0, 7.2, 7.4 und 7.6. Fortinet nennt als fehlerbereinigte Versionen 7.6.2 sowie 7.4.7 und neuere; ältere Zweige müssen migriert werden. Arista bewertet die Schwachstelle in VeloCloud Orchestrator mit CVSS 10.0 als „kritisch“. Fehlerbereinigte Versionen sind 5.2.3.14, 6.1.3.4, 6.4.2.4 und 7.0.0.1. Die Hinweise zu aktiven Angriffen sind nach Angaben von Arista und CISA nicht theoretisch, sondern folgen auf beobachteten Missbrauch.
Ein SSL-VPN ist ein Zugangspunkt, über den sich Nutzer sicher in ein internes Netz verbinden. Wenn eine Schwachstelle dort vertrauliche Informationen preisgeben kann, betrifft das direkt Betriebsdaten und Konfigurationen. CVE ist die eindeutige Kennung für eine Schwachstelle, CVSS bewertet die Schwere auf einer Skala. „On-Prem“ bedeutet, dass die Software im eigenen Rechenzentrum oder im eigenen Netz betrieben wird. Für VeloCloud Orchestrator heißt das: Die Installation liegt bei den Betreibern selbst, nicht in einer vollständig vom Hersteller verwalteten Umgebung. Mehr dazu finden Leser auch auf unserer Übersicht.
Die Quelle nennt vor allem drei Punkte, die für den Betrieb wichtig sind:
Zusätzlich rät die Quelle dazu, bei später eingespielten Updates davon auszugehen, dass Geräte kompromittiert worden sein könnten, und entsprechende Untersuchungen einzuleiten. Das gilt besonders für die Arista-Schwachstelle. Einen Termin- oder Schulungsbezug finden Betreiber unter unseren Veranstaltungen.
Die CISA meldet die Angriffe und nennt dabei die betroffenen Schwachstellennummern. Fortinet selbst gibt für seine Meldung noch keinen Hinweis auf aktuell beobachtete Exploits; das Unternehmen markiert den Status mit „No“. Arista hat seine gehosteten und verwalteten Versionen bereits gepatcht, verweist bei On-Premises-Installationen aber auf die Eigenverantwortung der IT-Verantwortlichen. Laut Quelle ist VCO standardmäßig im Netz erreichbar, und es gibt keine Konfiguration, die das unterbindet. Für Betreiber ist damit nicht nur das Patchen wichtig, sondern auch die Prüfung, ob Hinweise auf einen bereits erfolgten Zugriff vorliegen.
Die Lage ist klar: Zwei Sicherheitslücken werden aktiv angegriffen, eine davon im FortiOS-SSL-VPN, die andere in Arista VeloCloud Orchestrator On-Prem. Bei FortiOS sind mehrere Zweige betroffen, bei Arista müssen vor allem On-Premises-Betreiber sofort handeln. Wer die Updates erst jetzt einspielt, sollte nach den Angaben der Quelle immer auch an eine mögliche Kompromittierung denken. Die zentrale Frage bleibt deshalb nicht nur, ob gepatcht wurde, sondern ob bereits Spuren eines Angriffs vorhanden sind.
Wenn Sie solche Themen mit anderen Errichtern aus dem Sicherheitsgewerbe einordnen wollen, prüfen Sie die Aufnahme in The Circle of Security Professionals. Dort geht es um den Austausch zwischen inhabergeführten Betrieben mit technischem Außendienst, die Lösungen im Bereich Sicherheitsanlagen umsetzen.
Quelle: Heise