Ürünler arasında birden fazla güvenlik açığını ele alan kritik yama

Fortinet, Fortios, Fortianalyzer, FortiProxy ve Fortiweb sistemleri dahil olmak üzere ürün portföyü boyunca birden fazla güvenlik açığını ele alan güvenlik güncellemeleri yayınladı.

Siber güvenlik şirketinin ürün güvenliği olay müdahale ekibi (PSIRT), ayrıcalık artışından kurumsal ağ güvenliğini potansiyel olarak tehlikeye atabilecek enjeksiyon güvenlik açıklarına kadar değişen kusurları kapsayan tavsiyeler yayınladı.

Açıklanan en kritik sorun, Fortianalyzer, FortimAnager ve ilgili ürünleri etkileyen yüksek aralıklı bir OS komutu enjeksiyon kırılganlığı olan CVE-2023-42788’dir.

Bu kusur, tanısal komutlarda özel olarak hazırlanmış parametreler aracılığıyla keyfi komutlar yürütmek için “sistem ayarları” erişimine sahip ayrıcalıklı kullanıcılara, potansiyel olarak saldırganların kök kabuğu erişimi sağlayarak izin verir.

Birden fazla güvenlik açığı yamalı

Güvenlik açığı, Fortianalyzer sürümlerini 7.4.0 ve 7.2.0 ila 7.2.3 ile Fortianalyzer-Bigdata sistemleriyle etkiler.

Fortinet, Fortios sistemlerinde SSL-VPN ile ilgili üç güvenlik açıkına değindi. CVE-2024-50562, saldırganların kalıcı SSL-VPN çerezleri aracılığıyla yetkisiz erişimi sürdürmesine izin verebilecek orta şiddetli bir oturum ekspirasyonu güvenlik açığını temsil eder.

Ek olarak, CVE-2025-25250, SSL-VPN uç noktası aracılığıyla yetkisiz aktörlere hassas bilgileri ortaya çıkarırken, CVE-2025-22251, Fortigate Güvenlik İşlemcisindeki (FGSP) uygunsuz iletişim kanalı kısıtlamalarını içerir.

Bu SSL-VPN güvenlik açıkları, 7.6.0 ve çeşitli 7.4.x sürümleri ve Fortisase bulut hizmetleri dahil olmak üzere birçok FortiOS versiyonunu etkiler.

Fortinet’in CVE-2024-21762 gibi vahşi doğada aktif olarak sömürülen son kritik güvenlik açıkları da dahil olmak üzere SSL-VPN istismarları ile tarihi göz önüne alındığında, kuruluşlar bu sorunları yamaya öncelik vermelidir.

İki orta yüzlü ayrıcalık artış güvenlik açıkları da yamalandı. CVE-2025-22254, Fortios, Fortiproxy ve FortiWeb ürünlerinde GUI WebSocket modülünü etkiler ve yetkisiz erişim artışına yol açabilecek uygunsuz ayrıcalık yönetimine izin verir. Bu arada, CVE-2025-22862, Fortios ve Fortiproxy sistemlerini etkileyen otomasyon dikiş özelliğinde bir kimlik doğrulama baypas güvenlik açığı içerir.

Güvenlik güncellemesi ayrıca, operasyonlar iptal edilse bile SSH anahtarlarının eklendiği eksik bir temizlik sorunu olan CVE-2023-29184 de dahil olmak üzere diğer bazı güvenlik açıklarını da ele alıyor.

CVE-2024-50568, güvenlik kumaş daemonunda zayıf kimlik doğrulamasını içerirken, CVE-2025-24471, iptal edilen sertifikaları kullanarak EAP kimlik doğrulaması bypass’a izin verebilecek uygunsuz bir sertifika doğrulama kusurunu temsil eder.

Fortinet müşterileri güvenlik danışmanlarını derhal gözden geçirmeli ve etkilenen sistemlere mevcut yamaları uygulamalıdır. CVE-2025-32756’yı içeren son olaylar da dahil olmak üzere, şirketin vahşi doğada kullanılmayan güvenlik açıkları sicili göz önüne alındığında, kuruluşlar bu güncellemelere kritik davranmalıdır.

Sistem yöneticileri ayrıca şüpheli etkinlikler için günlükleri gözden geçirmeli ve yükseltme programları planlarken etkilenen bileşenler için ek izleme uygulamalıdır.

Herhangi biriyle tehdit tepkisini otomatikleştirin. -> Tam erişim isteyin