Fortinet, FortiClientEMS yazılımını etkileyen ve saldırganların etkilenen sistemlerde kod yürütmesine olanak verebilecek kritik bir güvenlik açığı konusunda uyardı.
“SQL Komutu (‘SQL Enjeksiyon’) güvenlik açığında kullanılan özel öğelerin uygunsuz şekilde etkisiz hale getirilmesi [CWE-89] FortiClientEMS’in kimliği doğrulanmamış bir saldırganın özel olarak hazırlanmış istekler yoluyla yetkisiz kod veya komutlar yürütmesine izin verebileceğini belirtti. söz konusu bir danışma belgesinde.
CVE-2023-48788 olarak takip edilen güvenlik açığı, maksimum 10 üzerinden 9,3 CVSS derecesine sahiptir. Aşağıdaki sürümleri etkilemektedir:
- FortiClientEMS 7.2.0 ila 7.2.2 (7.2.3 veya üzeri sürüme yükseltme)
- FortiClientEMS 7.0.1 ila 7.0.10 (7.0.11 veya üzeri sürüme yükseltme)
Horizon3.ai, planlar Gelecek hafta ek teknik ayrıntılar ve bir kavram kanıtlama (PoC) istismarı yayınlayacak olan şirket, bu eksiklikten yararlanılarak sunucuda SİSTEM olarak uzaktan kod yürütülmesinin sağlanabileceğini söyledi.
Fortinet, kusuru keşfedip bildirdiği için ForticlientEMS geliştirme ekibinden ve Birleşik Krallık Ulusal Siber Güvenlik Merkezi’nden (NCSC) Thiago Santana’ya teşekkür etti.
Ayrıca şirket tarafından düzeltildi diğer iki kritik hata FortiOS ve FortiProxy’de (CVE-2023-42789 ve CVE-2023-42790, CVSS puanları: 9,3), sabit portala erişimi olan bir saldırganın özel hazırlanmış HTTP istekleri aracılığıyla rastgele kod veya komutlar yürütmesine izin verebilir.
Aşağıdaki ürün sürümleri kusurlardan etkilenmektedir –
- FortiOS sürüm 7.4.0 ila 7.4.1 (FortiOS sürüm 7.4.2 veya üstüne yükseltme)
- FortiOS sürüm 7.2.0 ila 7.2.5 (FortiOS sürüm 7.2.6 veya üstüne yükseltme)
- FortiOS sürüm 7.0.0 ila 7.0.12 (FortiOS sürüm 7.0.13 veya üstüne yükseltme)
- FortiOS sürüm 6.4.0 ila 6.4.14 (FortiOS sürüm 6.4.15 veya üstüne yükseltme)
- FortiOS sürüm 6.2.0 ila 6.2.15 (FortiOS sürüm 6.2.16 veya üstüne yükseltme)
- FortiProxy sürüm 7.4.0 (FortiProxy sürüm 7.4.1 veya üstüne yükseltme)
- FortiProxy sürüm 7.2.0 ila 7.2.6 (FortiProxy sürüm 7.2.7 veya üstüne yükseltme)
- FortiProxy sürüm 7.0.0 ila 7.0.12 (FortiProxy sürüm 7.0.13 veya üstüne yükseltme)
- FortiProxy sürüm 2.0.0 ila 2.0.13 (FortiProxy sürüm 2.0.14 veya üstüne yükseltme)
Bahsedilen kusurların aktif olarak istismar edildiğine dair bir kanıt olmasa da, yama yapılmamış Fortinet cihazlarının tehdit aktörleri tarafından defalarca suiistimal edilmesi, kullanıcıların güncellemeleri uygulamak için hızlı hareket etmelerini zorunlu kılıyor.
Güncelleme
Siber güvenlik şirketi Horizon3.ai, ayrı bir raporda, geçen yıl Fortinet’e bildirdiği FortiWLM ve FortiSIEM güvenlik açıklarından ikisinin bugüne kadar yamalanmadığını ortaya çıkardı.
- Kimliği Doğrulanmamış Sınırlı Günlük Dosyası Okuması – Yönetici oturum kimliği belirteçlerini içeren rastgele günlük dosyalarının alınmasına izin verir
- Statik Oturum Kimliği Güvenlik Açığı – Oturum kimlikleri, kullanıcılar için oturumlar arasında değişmez. Yukarıdaki sorunun zincirlenmesi, cihazın önemsiz düzeyde tehlikeye atılmasına izin verir.
Güvenlik araştırmacısı Zach Hanley, “Kimliği doğrulanmış kullanıcıların web oturumu kimliği belirteci, kullanıcılar için oturumlar arasında statik ve değişmeden kalıyor” dedi. söz konusu. “Bir kullanıcı her oturum açtığında, tam olarak aynı oturum kimliği jetonunu alır. Bu belirteç, cihazın her önyüklemesinde statik kalır.
“Bu belirteci ele geçirebilen bir saldırgan, oturumları ele geçirmek ve yönetimsel eylemler gerçekleştirmek için bu davranışı kötüye kullanabilir. Bu oturum kimliği, yukarıdaki yama kaldırma sınırlı günlük dosyası okuma güvenlik açığıyla birlikte alınabilir ve cihaza yönelik yönetim izinleri kazanmak için kullanılabilir.”