Fünf Jahre alte Sicherheitslücke: Laufende Attacken gefährden 10.000 Firewalls

Eine seit Juli 2020 gepatchte Sicherheitslücke in FortiOS ist auf Tausenden von Firewalls noch immer ausnutzbar. Fortinet warnt vor laufenden Angriffen.

5. Januar 2026 um 09:14 Uhr / Marc Stöckel

Angreifer haben es auf Netzwerkgeräte von Fortinet abgesehen. Bild: pixabay.com / Bru-nO

Das Cybersecurityunternehmen Fortinet hat Ende Dezember eine Warnung vor laufenden Attacken auf eine inzwischen mehr als fünf Jahre alte Sicherheitslücke in seinem Fortigate-Firewall-Betriebssystem FortiOS herausgegeben. Einen Patch gibt es zwar schon seit Juli 2020, laut den neuesten Scans der Shadowserver Foundation sind jedoch noch immer knapp 10.000 Systeme angreifbar.

Bei der besagten Sicherheitslücke handelt es sich um CVE-2020-12812 . Sie ermöglicht es Angreifern, die Zwei-Faktor-Authentifizierung (2FA) über das sogenannte Fortitoken zu umgehen, indem bei Nutzernamen von gültigen Nutzern lediglich Groß- mit Kleinbuchstaben vertauscht werden (zum Beispiel "Mmueller" statt "mmueller" ).

Als anfällig gelten FortiOS-Versionen bis einschließlich 6.4.0, 6.2.3 und 6.0.9. Ein Patch wurde mit den Versionen 6.4.1, 6.2.4 und 6.0.10 veröffentlicht und ist schon seit dem 13. Juli 2020 verfügbar. Als Alternative zum Patch empfiehlt Fortinet, in den FortiOS-Einstellungen die standardmäßig aktive Option "username-case-sensitivity" zu deaktivieren. Eine Anleitung dafür ist in der Sicherheitsmeldung des Herstellers zu finden.

Tausende Firewalls noch immer gefährdet

Am 1. Januar hatte die Shadowserver Foundation bei ihren Scans weltweit noch etwas mehr als 10.000 Fortinet-Firewalls registriert, die für CVE-2020-12812 anfällig sind. Bis zum 4. Januar hat diese Zahl leicht nachgelassen auf zuletzt 9658 ungepatchte Systeme. Ob diese Zahl weiter abnimmt oder über das Wochenende lediglich einige der betroffenen Firewalls temporär vom Netz genommen wurden, bleibt jedoch abzuwarten.

Beim Ländervergleich zeigt sich, dass die USA das Feld mit 1.212 Firewalls anführen, gefolgt von Taiwan (736), Japan (449), China (412), Thailand (392), Israel (375) und Indien (354). Deutschland gehört hier zu den weniger betroffenen Ländern und kam zuletzt lediglich auf 48 anfällige Firewalls.

Laut der jüngsten Warnmeldung von Fortinet besteht die Anfälligkeit nur bei lokalen Nutzern, die sich über einen LDAP-Server authentifizieren und dort einer Gruppe zugewiesen sind. Das kann aber sowohl einfache VPN-Nutzer als auch Administratoren betreffen. Systeme, bei denen eine anfällige Konfiguration vorliegt, sollten daher als potenziell kompromittiert betrachtet werden.