Fortinet hat den Sicherheitshinweis FG-IR-26-166 veröffentlicht, der eine Schwachstelle des Typs Improper Access Control (CWE-284) im Web-Interface der Produkte FortiSandbox, FortiSandbox Cloud und FortiSandbox PaaS beschreibt. Laut dem Sicherheitshinweis des Herstellers wurde die Schwachstelle mit CVSSv3 8.9 (hohe Kritikalität) bewertet und ermöglicht es einem nicht authentifizierten Angreifer, über speziell gestaltete HTTP-Anfragen Zugriff auf vertrauliche Informationen zu erhalten. Organisationen, die die betroffenen Produkte einsetzen, sollten umgehend prüfen, ob das Web-Interface von FortiSandbox aus nicht vertrauenswürdigen Netzen erreichbar ist, und den vollständigen Text des Fortinet-Hinweises für Informationen zu betroffenen Versionen und verfügbaren Updates heranziehen.
Technische Details der Schwachstelle
Der Fortinet-Sicherheitshinweis klassifiziert das Problem als Schwachstelle des Typs Improper Access Control (CWE-284). Betroffene Produkte sind:
- FortiSandbox (on-premise)
- FortiSandbox Cloud
- FortiSandbox PaaS
Die verwundbare Komponente ist das Verwaltungs-Web-Interface (WEB UI) der genannten Produkte. Der Angriffsvektor besteht in der Übermittlung speziell gestalteter HTTP-Anfragen, wobei für die Ausnutzung keine Authentifizierung erforderlich ist. Das Ergebnis ist der Zugriff auf vertrauliche Informationen.
Es ist bemerkenswert, dass der Titel des Sicherheitshinweises vom Inhalt abweicht. Der Titel – „Unauthenticated Control of NAT Rules Leading to Exposure of Sensitive Information“ – erwähnt eine nicht authentifizierte Steuerung von NAT-Regeln, während der eigentliche Text des Hinweises lediglich Improper Access Control und eine Datenexfiltration beschreibt, ohne den Mechanismus der Manipulation von NAT-Regeln zu erläutern. Damit ist die bestätigte Auswirkung der Zugriff auf vertrauliche Informationen; die konkrete Mechanik der Manipulation von NAT-Regeln wird im verfügbaren Text des Sicherheitshinweises nicht offengelegt.
Zum Zeitpunkt der Veröffentlichung sind im verfügbaren Ausschnitt des Sicherheitshinweises nicht angegeben: die CVE-Kennung, die Bereiche der betroffenen Versionen, die behobenen Versionen und der Upgrade-Pfad. Es liegen ebenfalls keine Hinweise auf eine aktive Ausnutzung der Schwachstelle vor.
Bewertung der Auswirkungen
FortiSandbox ist eine Lösung für die dynamische Analyse von Malware, die in Unternehmensumgebungen weit verbreitet ist, um sich vor gezielten Angriffen zu schützen. Eine Kompromittierung des Web-Interfaces bringt eine Reihe schwerwiegender Risiken mit sich:
- Offenlegung von Daten zu analysierten Samples – Ein Angreifer kann Informationen über schädliche Dateien erhalten, die die Organisation untersucht, was Rückschlüsse auf aktuelle Sicherheitsvorfälle und den Informationsstand der Verteidiger zulässt.
- Abfluss von Konfigurationsdaten – Der Zugriff auf die Sandbox-Konfiguration kann die Netzarchitektur und Integrationen mit anderen Sicherheitslösungen offenlegen.
- Breite Abdeckung – Die Schwachstelle betrifft alle drei Bereitstellungsvarianten (on-premise, Cloud und PaaS), was die Angriffsfläche vergrößert.
Die CVSSv3-Bewertung von 8.9 weist auf eine hohe Kritikalität hin. Das fehlende Erfordernis einer Authentifizierung macht die Schwachstelle besonders gefährlich für Umgebungen, in denen das Web-Interface von FortiSandbox aus nicht vertrauenswürdigen Netzen oder dem Internet erreichbar ist.
Zuvor haben wir bereits über kritische Schwachstellen in FortiSandbox berichtet – der neue Sicherheitshinweis setzt die Tendenz zur Aufdeckung schwerwiegender Sicherheitsprobleme in dieser Produktlinie fort.
Empfehlungen
Da der verfügbare Ausschnitt des Sicherheitshinweises keine Informationen zu betroffenen und behobenen Versionen enthält, wird empfohlen:
- Den vollständigen Text des Sicherheitshinweises auf der PSIRT-Seite von Fortinet zu konsultieren, um aktuelle Informationen zu betroffenen Versionen und verfügbaren Updates zu erhalten.
- Den Netzwerkzugriff auf das Web-Interface von FortiSandbox zu beschränken – sicherzustellen, dass das WEB UI weder aus dem Internet noch aus nicht vertrauenswürdigen Netzsegmenten erreichbar ist. Da die Schwachstelle ohne Authentifizierung über HTTP-Anfragen ausgenutzt wird, ist die Netzwerkisolierung des Verwaltungs-Interfaces die vorrangige Maßnahme.
- Die Zugriffsprotokolle des Web-Interfaces von FortiSandbox auf ungewöhnliche HTTP-Anfragen aus nicht autorisierten Quellen zu überprüfen.
- Updates zu verfolgen auf dem Fortinet-PSIRT-Portal – der Sicherheitshinweis ist auf den 8. September 2026 datiert und kann um Informationen zu Patches und betroffenen Versionen ergänzt werden.
Organisationen, die FortiSandbox in einer der drei Bereitstellungsvarianten einsetzen, sollten mit hoher Priorität prüfen, ob das Web-Interface aus nicht vertrauenswürdigen Netzen erreichbar ist, und bis zur Verfügbarkeit eines Patches eine Netzwerksegmentierung umsetzen. Angesichts der CVSSv3-Bewertung von 8.9 und des fehlenden Erfordernisses einer Authentifizierung bedeutet ein Zögern bei der Isolierung des Verwaltungs-Interfaces ein reales Risiko für den Abfluss vertraulicher Daten.
