Sicherheitshinweis zu FortiClient Windows

Fortinet hat mit dem Sicherheitshinweis FG-IR-26-156 eine Schwachstelle in FortiClient für Windows veröffentlicht. Die unter CVE-2026-70465 geführte Sicherheitslücke betrifft einen Kernel-Treiber und entsteht durch eine fehlende Überprüfung der Größe eingehender Daten. Fortinet stuft die Schwachstelle mit einem CVSS-v3-Wert von 7.3 ein. Als mögliche Auswirkung nennt der Hersteller unter anderem eine Eskalation von Berechtigungen.

Was ist passiert?

Betroffen sind FortiClientWindows 7.4.0 bis einschließlich 7.4.3 sowie FortiClientWindows 7.2.0 bis einschließlich 7.2.11. Die Schwachstelle befindet sich in einem Kernel-Treiber des Clients.

Dass sich der Fehler in einem Kernel-Treiber befindet, macht die Sicherheitslücke besonders ernst. Kernel-Komponenten arbeiten mit weitreichenden Systemrechten. Ein erfolgreicher Angriff auf eine solche Komponente kann daher erhebliche Auswirkungen auf das betroffene Windows-System haben.

Wie funktioniert der Angriff?

Für die Ausnutzung der Schwachstelle ist keine vorherige Anmeldung am betroffenen System erforderlich. Der Angreifer muss jedoch in der Lage sein, DNS-Antworten für den Windows-Rechner zu beeinflussen oder selbst präparierte DNS-Antworten zu erzeugen.

Gelingt dies, kann er speziell manipulierte Netzwerkpakete an das betroffene System senden. Diese werden vom verwundbaren Kernel-Treiber verarbeitet. Aufgrund der fehlenden Größenvalidierung kann dabei ein Heap-Überlauf entstehen: Der Treiber verarbeitet mehr Daten, als für den vorgesehenen Speicherbereich zulässig sind.

Ein Angreifer kann versuchen, diesen Speicherfehler gezielt auszunutzen. Im Erfolgsfall kann dies dazu führen, dass ein eingeschleuster Code auf dem betroffenen System ausgeführt wird. Da die Schwachstelle innerhalb eines Kernel-Treibers liegt, kann ein erfolgreicher Angriff besonders weitreichende Auswirkungen haben.

Ursache: Fehlende Größenvalidierung

Die technische Ursache beschreibt Fortinet bereits im Titel des Advisories: „Heap overflow in kernel driver due to missing size validation“. Beim Verarbeiten beziehungsweise Kopieren von Daten wird deren Größe nicht ausreichend überprüft. Treffen größere oder speziell manipulierte Eingaben ein, können dadurch Daten über den dafür vorgesehenen Speicherbereich hinaus geschrieben werden. Fortinet ordnet die Schwachstelle entsprechend als klassische Buffer-Overflow-Problematik ein.

FortiClient-Versionen aktualisieren

Es sollten ausschließlich FortiClient Windows Version 7.4.4 oder neuer beziehungsweise 7.2.12 oder neuer eingesetzt werden. Ältere Versionen sollten zeitnah aktualisiert werden. Wenn Sie Unterstützung benötigen, helfen wir Ihnen gerne dabei, Ihre eingesetzten Versionen zu überprüfen und die notwendigen Updates durchzuführen. In diesem Zusammenhang empfehlen wir Ihnen auch einen umfassenden IT-Check, um mögliche weitere Sicherheitsrisiken frühzeitig zu erkennen.
Melden Sie sich gerne bei uns unter office@acronum.com  oder telefonisch +43 (0) 5 9084.