Die Schwachstelle liegt in der Authentifizierung von Fortinet FortiWeb, einer Web Application Firewall. Durch eine fehlerhafte Prüfung der Anmeldedaten kann ein Angreifer aus der Ferne und ohne gültige Zugangsdaten die Anmeldung umgehen: Es genügt, sich mit einem beliebigen Benutzernamen und einem beliebigen Passwort anzumelden, um Zugang zur grafischen Verwaltungsoberfläche oder zur Kommandozeile des Geräts zu erhalten. Damit erhält ein unauthentifizierter Angreifer administrativen Zugriff auf die Verwaltung des Systems. Besonders kritisch ist dies, weil FortiWeb vorgelagert den Schutz von Webanwendungen übernimmt – wer die Verwaltungsschnittstelle kontrolliert, kann Schutzregeln verändern, Datenverkehr mitlesen oder umleiten und das Gerät als Einstiegspunkt in das dahinterliegende Netz nutzen. Betroffen sind mehrere Versionszweige des Produkts; besonders exponiert sind Installationen, deren Verwaltungszugang aus dem Internet erreichbar ist.