Was passiert ist
Ein mutmaßlich hochentwickelter Angreifer nutzt CVE-2025-61624 in Fortinet-Technologie aus, um PEERSTITCH zu verbreiten, eine bislang unbekannte, speicherresidente ARM64-Malware.
Die Schwachstelle hat einen CVSS-Wert von 5,4 und wird als Path-Traversal-Lücke im Kommandozeilen-Interpreter beschrieben. Der Bericht nennt folgende betroffene Produktfamilien:
FortiOS
FortiPAM
FortiProxy
FortiSwitchManager
Die gemeldete Kampagne ist besonders ernst zu nehmen, weil PEERSTITCH im Arbeitsspeicher läuft und der Angriff Prüfungen rund um getaggte VPN-Sitzungen umgehen kann. Damit geht es um mehr als routinemäßiges Schwachstellenmanagement: Verteidiger müssen sowohl die Firmware-Exposition als auch mögliche Aktivitäten nach einer Kompromittierung adressieren.
Warum der CVSS-Wert nicht alles sagt
Ein mittlerer CVSS-Wert ist kein Beleg für ein geringes Betriebsrisiko. Die Quelle berichtet von beobachteter Ausnutzung durch einen mutmaßlich hochentwickelten Angreifer und vom Einsatz von Malware. Diesen realen Kontext kann eine Zahl allein nicht abbilden.
Die Priorisierung sollte deshalb berücksichtigen:
Ob ein betroffenes Produkt in der Umgebung im Einsatz ist
Seine aktuelle Firmware-Version und Exposition
Seine Rolle in VPN-, Privileged-Access-, Proxy-, Switching- oder Management-Abläufen
Hinweise auf ungewöhnliche getaggte VPN-Sitzungen oder administrative Aktivitäten
Ob das Gerät noch eine passende korrigierte Firmware-Version erhalten kann
Weil die Malware speicherresident ist, darf die Installation neuer Firmware zudem nicht automatisch als Beweis gelten, dass ein Gerät nie kompromittiert war.
Ablauf der Firmware-Behebung
Der Bericht nennt die betroffenen Produktfamilien, die vorliegende Zusammenfassung enthält aber nicht für jedes Produkt und jeden Firmware-Zweig die genauen korrigierten Versionen. Teams sollten die jeweils passende Version direkt anhand der aktuellen Fortinet-Hinweise prüfen, statt anzunehmen, dass eine Version für das gesamte Portfolio gilt.
Eine kontrollierte Reaktion umfasst:
Betroffene Produkte inventarisieren. Jede Instanz von FortiOS, FortiPAM, FortiProxy und FortiSwitchManager finden, einschließlich Standby-Systemen und entfernter Standorte.
Aktuelle Firmware erfassen. Produkt, Modell, Firmware-Version, Management-Adresse, Standort und fachlich Verantwortlichen genau festhalten.
Erforderliches Update prüfen. Jedes Gerät und jeden Versionszweig mit den aktuellen Behebungshinweisen des Herstellers abgleichen.
Konfigurationen sichern. Vor jeder Änderung einen bekannten Konfigurationsstand sichern.
Geprüfte korrigierte Firmware installieren. Den freigegebenen Upgrade-Pfad einhalten und bestätigen, dass das Gerät in den erwarteten Betriebszustand zurückkehrt.
Zustand vor und nach der Änderung vergleichen. Die Konfigurationsunterschiede prüfen, statt sich nur auf einen erfolgreichen Neustart oder die angezeigte Version zu verlassen.
Mögliche Kompromittierung untersuchen. Verfügbare Aufzeichnungen zu VPN-Sitzungen, Kommandozeile, Administration, Konfigurationsänderungen und Sicherheitsereignissen auswerten und relevante Beweise sichern.
Abschluss dokumentieren. Nachweise zu betroffenem Gerät, ursprünglicher Version, Behebungsmaßnahme, neuer Version, Datum und Freigabe aufbewahren.
Das Patchen schließt die bekannte Firmware-Lücke. Es klärt aber nicht, ob PEERSTITCH oder eine andere Schadsoftware zuvor aktiv war.
Hinweise auf PEERSTITCH-Aktivität
Der zentrale Befund des Berichts: Angreifer haben CVE-2025-61624 bereits genutzt, um PEERSTITCH einzuschleusen. Die Malware wird als ARM64-Code beschrieben, speicherresident und bislang nicht dokumentiert.
Verteidiger sollten keine Indikatoren erfinden und sich nicht auf ungeprüfte Signaturen verlassen. Sie sollten stattdessen die technischen Indikatoren der ursprünglichen Forscher und des Herstellers verwenden und lokal verfügbare Beweise sichern, insbesondere zu:
Getaggten VPN-Sitzungen
Administrativen Aktivitäten und Kommandozeilen-Eingaben
Unerwarteten Konfigurationsänderungen
Firmware- und Neustart-Historie
Sicherheitsereignissen im Zeitraum der vermuteten Ausnutzung
Da die Malware speicherresident ist, sollten Entscheidungen der Incident Response nicht allein auf Datenträgersuchen beruhen. Geräte mit glaubhaften Anzeichen einer Kompromittierung sollten nach den etablierten Verfahren des Unternehmens für Eindämmung, Beweissicherung, Wiederherstellung und Prüfung der Zugangsdaten behandelt werden.
Wie ConnectMyAssets unterstützt
ConnectMyAssets bietet einen herstellerunabhängigen On-Premises-Ablauf, um diese Warnung in ein Behebungsprogramm auf Geräteebene zu überführen:
Die dynamische CMDB identifiziert betroffene Fortinet-Geräte und erfasst Modell, Firmware, Verantwortliche, Standort und betriebliche Rolle.
Das CVE-Tracking pro Gerät ordnet CVE-2025-61624 den relevanten Geräten zu. So unterscheiden Teams potenziell exponierte von bereits behobenen Geräten.
Backup & History sichert Konfigurationsstände vor und nach Firmware-Arbeiten, ermöglicht den Vergleich von Änderungen und bietet bei Bedarf einen Rollback per Klick.
Die Automatisierung koordiniert geprüfte Firmware- und Kontrollaufgaben auf ausgewählten Geräten, ohne vorauszusetzen, dass jedes Produkt denselben Upgrade-Pfad hat.
Die Compliance Engine bewahrt Behebungsnachweise für Rahmenwerke wie NIS2, ISO 27001, PCI, CISA und NIST auf.
Das End-of-Life-Tracking zeigt Geräte, deren Lebenszyklusstatus eine unterstützte Firmware-Behebung verhindern könnte.
SSH-Bastion und Zugangsdaten-Tresor sorgen während Untersuchung und Wartung für kontrollierten administrativen Zugriff.
ConnectMyAssets ersetzt weder Threat Hunting noch forensische Analyse. Es hilft Infrastruktur- und Sicherheitsteams, die betroffenen Geräte festzustellen, Konfigurationsnachweise zu sichern, eine kontrollierte Behebung zu koordinieren und den Abschluss aus einem On-Premises-Referenzsystem heraus nachzuweisen.
Quelle: The Hacker News
