SonicWall Çarşamba günü, Küresel Yönetim Sistemi (GMS) güvenlik duvarı yönetimi ve Analytics ağ raporlama motoru yazılımı müşterilerini, kimlik doğrulamasını atlatmak ve hassas bilgilere erişmek için bir tehdit aktörü tarafından kullanılabilecek 15 güvenlik açığından oluşan bir diziye karşı güvence altına almak için en son düzeltmeleri uygulamaya çağırdı.
15 eksiklikten (CVE-2023-34123’ten CVE-2023-34137’ye kadar izlenen), dördü Kritik, dördü Yüksek ve yedisi Orta derece olarak derecelendirilmiştir. Güvenlik açıkları NCC Group tarafından açıklandı.
Kusurlar, GMS 9.3.2-SP1 ve önceki sürümleri ile Analytics 2.5.0.4-R7 ve önceki sürümlerin şirket içi sürümlerini etkiler. Düzeltmeler, GMS 9.3.3 ve Analytics 2.5.2 sürümlerinde mevcuttur.
SonicWall, “Güvenlik açıkları paketi, bir saldırganın normalde alamadıkları verileri görüntülemesine olanak tanır.” söz konusu. “Bu, diğer kullanıcılara ait verileri veya uygulamanın kendisinin erişebildiği diğer verileri içerebilir. Çoğu durumda, bir saldırgan bu verileri değiştirebilir veya silebilir, bu da uygulamanın içeriğinde veya davranışında kalıcı değişikliklere neden olabilir.”
Kritik kusurların listesi aşağıdaki gibidir –
- CVE-2023-34124 (CVSS puanı: 9.4) – Web Hizmeti Kimlik Doğrulama Atlaması
- CVE-2023-34133 (CVSS puanı: 9.8) – Birden Fazla Kimliği Doğrulanmamış SQL Enjeksiyon Sorunu ve Güvenlik Filtresini Atlama
- CVE-2023-34134 (CVSS puanı: 9.8) – Web Hizmeti aracılığıyla Şifre Hash Okuma
- CVE-2023-34137 (CVSS puanı: 9,4) – Bulut Uygulama Güvenliği (CAS) Kimlik Doğrulama Atlaması
Açıklama, Fortinet’in FortiOS ve FortiProxy’yi (CVE-2023-33308, CVSS puanı: 9.8) etkileyen ve bir rakibin belirli koşullar altında uzaktan kod yürütmesini sağlayabilecek kritik bir kusuru ortaya çıkarmasıyla geldi. Sorunun bir danışma olmaksızın önceki bir sürümde çözüldüğünü söyledi.
“Yığın tabanlı bir taşma güvenlik açığı [CWE-124] FortiOS ve FortiProxy’de, uzaktaki bir saldırganın, SSL derin paket incelemesinin yanı sıra proxy moduyla proxy politikalarına veya güvenlik duvarı politikalarına ulaşan hazırlanmış paketler aracılığıyla rasgele kod veya komut yürütmesine izin verebilir” dedi. söz konusu bir danışmada.
İçeriden Gelen Tehditlere Karşı Kalkan: SaaS Güvenlik Duruş Yönetiminde Ustalaşın
İçeriden gelen tehditler konusunda endişeli misiniz? Seni koruduk! SaaS Güvenlik Duruş Yönetimi ile pratik stratejileri ve proaktif güvenliğin sırlarını keşfetmek için bu web seminerine katılın.
Etkilenen ürünler arasında FortiOS 7.2.0 – 7.2.3 ve 7.0.0 – 7.0.10 sürümleri ile FortiProxy 7.2.0 – 7.2.2 ve 7.0.0 – 7.0.9 sürümleri yer alıyor. Güvenlik deliğini tıkayan versiyonlar aşağıda listelenmiştir –
- FortiOS sürüm 7.4.0 veya üzeri
- FortiOS sürüm 7.2.4 veya üzeri
- FortiOS sürüm 7.0.11 veya üzeri
- FortiProxy sürüm 7.2.3 veya üzeri ve
- FortiProxy sürüm 7.0.10 veya üzeri
Kusurun FortiOS 6.0, FortiOS 6.2 ve FortiOS 6.4 ile FortiProxy 1.x ve FortiProxy 2.x’in tüm sürümlerini etkilemediğini belirtmekte fayda var.
Güncellemeleri hemen uygulayamayan müşteriler için Fortinet tavsiye etmek proxy politikaları veya proxy moduyla güvenlik duvarı politikaları tarafından kullanılan SSL inceleme profillerinde HTTP/2 desteğini devre dışı bıraktıklarını.