Fortinet’in FortiGate SSLVPN cihazlarındaki kritik bir güvenlik açığı olan CVE-2024-23113, vahşi ortamda aktif olarak istismar edildi.
Bu biçim dizesi hatası güvenlik açığı, uzaktan kod yürütme potansiyeli nedeniyle önemli endişelere yol açtı.
Bu kusur, saldırganların biçim dizelerini kontrol etmesine olanak tanıyarak, kimlik bilgileri veya varlık listeleri gerektirmeden ağ sınırı aygıtlarına yetkisiz erişime ve manipülasyona yol açıyor.
Fortinet Ürün Güvenliği ekibinden Gwendal Guégniaud, halihazırda bakımı yapılan tüm FortiGate şubelerini etkileyen güvenlik açığını yama yapmadan önce keşfetti.
Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), bu güvenlik açığından aktif olarak yararlanıldığını vurgulayarak kuruluşların sistemlerini acilen güncelleme ihtiyacını vurguladı.
ANY.RUN’un Yeni Güvenli Tarama Aracını Kullanarak Şüpheli Bağlantıları Analiz Edin: Ücretsiz Deneyin
Teknik Detaylar ve Kullanım
Labs raporuna göre, biçim dizesi güvenlik açığı, geliştiricinin saldırganın bir ‘biçim dizesini’ kontrol etmesine izin vermesiyle ortaya çıkıyor.
Tipik bir senaryoda printf gibi bir işlev kötüye kullanılır:
void doStuff(char* stuffToDo)
{
printf(stuffToDo);
}Bu durumda, bir saldırganın %s gibi format belirticileri içeren bir dize iletmesi uzaktan kod yürütülmesine neden olabilir.
FortiGate güvenlik açığı, FGFM (FortiGate’den FortiManager’a) protokolündeki bu kusurdan yararlanarak FortiGate cihazlarını merkezileştiriyor.
Araştırmacılar, FGFM mesajlarını TCP bağlantı noktası 541’deki SSL bağlantısı üzerinden değiştirerek bu güvenlik açığından yararlanabileceklerini keşfettiler.
Protokol, anahtar/değer çiftleriyle birlikte ASCII tabanlı yeni satırla ayrılmış formatlar kullanıyor ve bu da onu bu saldırıya açık hale getiriyor.
Etki ve Etki Azaltma
Güvenlik açığı, 7.0, 7.2 ve 7.4 şubeleri de dahil olmak üzere FortiGate ürün yazılımının birden fazla sürümünü etkiliyor. Her dal, istismar edildiğinde farklı davranışlar sergiler:
- Sürüm 7.0: Düzeltme eki uygulanmamış sürümlerde kendinden imzalı sertifikaları kabul eder ancak düzeltme eki uygulandıktan sonra yapılandırılmış bir CA tarafından imzalanmış sertifikalar gerektirir.
- Sürüm 7.2: Sertifika kabulüyle ilgili olarak sürüm 7.0’a benzer davranış.
- Sürüm 7.4: Yamalı sürümlerde bile yapılandırılmış bir CA tarafından imzalanmış sertifikalar gerektirir, bu da kötüye kullanımı karmaşık hale getirir.
Fortinet, yöneticilere bir azaltma adımı olarak FGFM hizmetine erişimi engellemelerini tavsiye ediyor ve en son ürün yazılımı sürümlerine güncelleme yapılmasını şiddetle tavsiye ediyor.
Bu güncelleme, biçim dizelerinin saldırgan tarafından kontrol edilmemesini sağlayarak biçim dizesi güvenlik açığını giderir.
Tespit ve Test
Savunmasız sistemleri tespit etmek için araştırmacılar, FGFM protokolü üzerinden belirli yükler göndererek bu güvenlik açığının varlığını test eden bir Python betiği geliştirdi.
Betik, bir cihazın %n veri yükü aldıktan sonra bağlantıyı kesip kesmediğini kontrol ederek güvenlik açığını gösterir:
with socket.socket(socket.AF_INET, socket.SOCK_STREAM) as sock:
sock.connect((hostname, 541))
with context.wrap_socket(sock, server_side=True) as ssock:
# Send payload
payload = b"reply 200\r\nrequest=auth\r\nauthip=%n\r\n\r\n\x00"
packet = b''
packet += 0x0001e034.to_bytes(4, 'little')
packet += (len(payload) + 8).to_bytes(4, 'big')
packet += payload
ssock.send(packet)Bu yöntem, sistem çökmelerine neden olmadan güvenlik açığı bulunan örnekleri etkili bir şekilde tanımlar.
CVE-2024-23113’ün keşfi, ağ cihazlarının karmaşık saldırılara karşı korunmasında devam eden zorlukların altını çiziyor.
FortiGate cihazlarını kullanan kuruluşlar, bu kritik güvenlik açığını azaltmak için sistemlerine yama uygulamaya öncelik vermelidir.
Güncelleme her zaman tavsiye edilse de, her ürün yazılımı sürümüyle ilişkili risklerin anlaşılması, yöneticilerin güvenlik durumları hakkında bilinçli kararlar almasına yardımcı olabilir.
Fortinet’in tavsiyesi net: Potansiyel istismara karşı koruma sağlamak için etkilenen tüm sistemleri derhal güncelleyin.
How to Choose an ultimate Managed SIEM solution for Your Security Team -> Download Free Guide(PDF)