Fortinet, FortiNAC ve FortiWeb çözümlerini etkileyen iki kritik güvenlik açığı (CVE-2022-39952, CVE-2021-42756) dahil olmak üzere çeşitli ürünlerindeki 40 güvenlik açığı için düzeltmeler yaptı.
Siber saldırganlar Fortinet kurumsal çözümlerindeki güvenlik açıklarından yararlanmayı sevdiklerinden ve yakında CVE-2022-39952 için bir PoC açıklarından yararlanılması beklendiğinden, yöneticilere yama uygulama konusunda harekete geçmeleri önerilir.
Güvenlik açıkları hakkında
CVE-2022-39952, Fortinet’in ağ erişim kontrolü çözümü olan FortiNAC’ın web sunucusundaki dosya adı veya yol güvenlik açığının harici kontrolüdür. Kimliği doğrulanmamış bir saldırgan tarafından savunmasız bir sistemde rasgele yazma gerçekleştirmek için kullanılabilir.
FortiNAC sürüm 9.4.1 veya üzeri, 9.2.6 veya üzeri, 9.1.8 veya üzeri ve 7.2.0 veya üzeri sürümlerde düzeltildi.
Horizon3’ün Saldırı Ekibi, yakında bir PoC ve istismarı detaylandıran bir blog yazısı yayınlayacaklarını duyurdu:
Bugün duyurulan CVE-2022-39952, karşı kimliği doğrulanmamış RCE’ye izin verir. #Fortinet Kök kullanıcı olarak FortiNAC. Blog gönderisi ve POC yakında yayınlanacak.
Fortinet’in PSIRT’sine bakın: https://t.co/sBsrs8Wxqb pic.twitter.com/EqkIo3ap4s
— Horizon3 Saldırı Ekibi (@Horizon3Attack) 17 Şubat 2023
CVE-2021-42756, birden çok yığın tabanlı arabellek taşması güvenlik açığını kapsar [CWE-121] şirketin web uygulaması güvenlik duvarı çözümü olan FortiWeb’in proxy arka plan programında. Güvenlik açığı, özel olarak hazırlanmış bir HTTP isteği aracılığıyla tetiklenebilir ve kimliği doğrulanmamış bir uzaktan saldırganın rasgele kod yürütmesine izin verebilir.
FortiWeb sürüm 7.0.0 veya üzeri, 6.3.17 veya üzeri, 6.2.7 veya üzeri, 6.1.3 veya üzeri ve 6.0.8 veya üzeri sürümlerde düzeltildi.
Her iki güvenlik açığı da Fortinet Ürün Güvenliği ekibinin üyeleri tarafından ortaya çıkarıldı, ancak şirket, ikincisi için düzeltmelerin neden bu kadar uzun sürdüğünden bahsetmedi (CVE numarası, 2021’de keşfedildiğini gösteriyor).
Kalan sabit güvenlik açıklarının çoğu da Fortinet çalışanları tarafından bulundu, bu da şirketin ürünlerindeki güvenlik zayıflıklarını saptamak ve düzeltmek için ortak bir iç baskıya işaret ediyor.
Yöneticilerin güncellemesi gereken diğer çözümler şunlardır:
- FortiADC (gelişmiş uygulama teslim denetleyicisi)
- FortiAnalyzer (kayıt yönetimi, analitik ve raporlama platformu)
- FortiExtender (WAN bağlantıları genişletici)
- FortiOS (FortiGate güvenlik duvarları dahil Fortinet donanımında kullanılan işletim sistemi)
- FortiProxy (güvenli web proxy/ağ geçidi)
- FortiAuthenticator (kullanıcı kimliği yönetimi)
- FortiSwitchManager modülü
- FortiPortal (servis sağlayıcılar için portal)
- FortiSandbox (kötü amaçlı yazılım sanal alanı)
- FortiWAN (çoklu WAN yönetimi)
Son zamanlarda, saldırganların bir FortiOS güvenlik açığından (CVE-2022-42475) yararlandıkları tespit edildi.