Siber güvenlik çözümleri şirketi Fortinet, sıfır güven erişim çözümü FortiNAC’ı, saldırganların kod ve komutları yürütmek için yararlanabilecekleri kritik öneme sahip bir güvenlik açığını gidermek için güncelledi.
FortiNAC, kuruluşların ağ çapında erişim politikalarını yönetmesine, cihazların ve kullanıcıların görünürlüğünü kazanmasına ve yetkisiz erişim ve tehditlere karşı ağı güvence altına almasına olanak tanır.
Güvenlik sorunu CVE-2023-33299 olarak izlenir ve 10 üzerinden 9,6 kritik önem puanı alır. Bu, kimlik doğrulama olmadan uzaktan kod yürütülmesine (RCE) yol açabilecek güvenilmeyen verilerin seri durumundan çıkarılmasıdır.
Bu kusurdan etkilenen ürünler şunlardır:
- FortiNAC sürüm 9.4.0 ila 9.4.2
- FortiNAC sürüm 9.2.0 ila 9.2.7
- FortiNAC sürüm 9.1.0 ila 9.1.9
- FortiNAC sürüm 7.2.0 ila 7.2.1
- FortiNAC 8.8, tüm sürümler
- FortiNAC 8.7, tüm sürümler
- FortiNAC 8.6, tüm sürümler
- FortiNAC 8.5, tüm sürümler
- FortiNAC 8.3, tüm sürümler
Güvenlik açığından kaynaklanan riski ele almak için yükseltilmesi önerilen sürümler şunlardır:
- FortiNAC 9.4.3 veya üstü
- FortiNAC 9.2.8 veya üstü
- FortiNAC 9.1.10 veya üstü
- FortiNAC 7.2.2 veya üzeri
Satıcı herhangi bir azaltma tavsiyesi sağlamamıştır, bu nedenle önerilen eylem, mevcut güvenlik güncellemelerini uygulamaktır.
CVE-2023-33299, kırmızı ekip, sızma testi ve tehdit istihbaratı hizmetleri sağlayan Code White şirketinden Florian Hauser tarafından keşfedildi.
Kritik RCE’nin yanı sıra Fortinet bugün ayrıca, FortiNAC 9.4.0’dan 9.4.3’e ve FortiNAC 7.2.0’dan 7.2.1’e kadar olan bir uygunsuz erişim kontrolü sorunu olan CVE-2023-33300 olarak izlenen orta düzeyde bir güvenlik açığını düzelttiğini duyurdu.
CVE-2023-33300’ün, kopyalanan verilere erişmek için yeterince yüksek ayrıcalıklara sahip bir saldırgan tarafından yerel olarak kullanılabilmesi, daha düşük önem derecesini verir.
Gecikmeden güncelleme
Ağ üzerindeki erişim ve kontrol düzeyi nedeniyle, Fortinet ürünleri bilgisayar korsanları için özellikle caziptir. Son birkaç yıldır Fortinet cihazları, sıfır gün açıkları ile ve yama uygulanmamış cihazları vurarak kurumları ihlal eden çeşitli tehdit aktörleri için bir hedef teşkil ediyor.
Yakın tarihli bir örnek CVE-2022-39952, FortiNAC’ı etkileyen kritik bir RCE.
Ocak ayında Fortinet, tehdit aktörlerinin FortiOS SSL-VPN’deki (CVE-2022-42475) bir güvenlik açığından, bir düzeltme bulunmadan önce devlet kurumlarına yönelik saldırılarda yararlandığı konusunda uyarıda bulunmuştu.
Geçen yıl Ekim ayında şirket, bilgisayar korsanlarının istismar etmeye başlaması nedeniyle müşterilerini cihazları FortiOS, FortiProxy ve FortiSwitchManager’daki (CVE-2022-40684) kritik bir kimlik doğrulama bypass’ına karşı yama yapmaya çağırdı.