Albisteak

Fortinet-Fortiguard segurtasun eguneratzea

Argitalpen-data: 

Fortinet segurtasun-abisu batzuk argitaratu ditu, eta horietan, FortiGate FortiOS, FortiClient (Windows), FortiAnalyzer, FortiManager produktuetan eragina duten larritasun handiko ahultasun hauek tratatzen dira:

  • CVE-2023-50176, Fortinet FortiOS-en saio-finkapeneko kalteberatasun batek erasotzaile bati kode edo komando ez-baimenduak exekutatzea ahalbidetu diezaioke phishing bidezko SAML autentifikazio lotura baten bidez.
  • CVE-2024-47574, FortiClient (Windows)-en autentifikazio-bypass kalteberatasuna, erasotzaile batek pribilegio baxuekin kode arbitrarioa exekutatu ahal izatea ahalbidetzen du izen-ematea faltsututako kanal mezuen bidez.
  • CVE-2024-36513, FortiClient-en (Windows) pribilegio-aldaketako kalteberatasuna, erabiltzaile autentifikatu bati lua script bidez pribilegioak handitzea ahalbidetu diezaioke.
  • CVE-2024-23666, Fortinet FortiAnalyzer eta FortiManager-en aurkitutako segurtasun-kalteberatasuna, erasotzaile bati eskaera faltsuen bidez eragiketa sentikorrak egitea ahalbidetzen dio.

Kalteberatasun horien ustiapenak mehatxu larri bat suposatzen du sistemaren konfidentzialtasuna, osotasuna eta erabilgarritasuna arriskuan jartzen direlako.

Eraginpeko baliabideak

  • FortiGate FortiOS 7.4.0 eta 7.4.3 arteko bertsioak
  • FortiGate FortiOS 7.2.0 eta 7.2.7 arteko bertsioak
  • FortiGate FortiOS 7.0.0 eta 7.0.13 arteko bertsioak
  • FortiClient (Windows) 7.4 bertsioa 7.4.0
  • FortiClient (Windows) 7.2 bertsioak 7.2.0 eta 7.2.4 artekoak
  • FortiClient (Windows) 7.0 bertsioak 7.0.0 eta 7.0.12 artekoak
  • FortiClient (Windows) 6.4 bertsio guztiak
  • FortiClient Windows 7.2.4 eta aurreko bertsioak
  • FortiClient Windows 7.0.12 eta aurreko bertsioak
  • FortiClient Windows 6.4 eta aurreko bertsioak
  • FortiAnalyzer
  • FortiManager

Analisi teknikoa

  • CVE-2024-47574: Kalteberatasuna egoera erreserbatua du ohar hau argitaratu zen datan.
  • -
  • CVSS: 7.4
  • CVSS bektorea: CVSS:3.1/AV:-/AC:-/PR:-/UI:-/S:-/C:-/I:-/A:-
    • Eraso-bektorea: -
    • Konplexutasuna: -
    • Beharrezko pribilegioak: -
    • Erabiltzailearen interakzioa: -
    • Esparrua: -
    • Konfidentzialtasuna: -
    • Osotasuna: -
    • Erabilgarritasuna: -
  • Ustiaketa: Ez detektatua
  • CVE-2024-36513: Pribilegio-aldaketako akatsa FortiClient Windows bertsio 7.2.4 eta beherakoetan, bertsio 7.0.12 eta beherakoetan, 6.4 bertsio guztietan. Erabiltzaile autentifikatu batek pribilegioak handitu ahal ditu lua script bidezko automatikoki aplikatutako adabakien bidez.
  • CWE-270
  • CVSS: 7.4
  • CVSS bektorea: CVSS:3.1/AV:L/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:H
    • Eraso-bektorea: Lokala
    • Konplexutasuna: Baxua
    • Beharrezko pribilegioak: Baxuak
    • Erabiltzailearen interakzioa: Beharrezkoa
    • Esparrua: Aldaketekin
    • Konfidentzialtasuna: Handia
    • Osotasuna: Handia
    • Erabilgarritasuna: Handia
  • Ustiaketa: Ez detektatua
  • CVE-2023-50176: Saio-finkapeneko kalteberatasuna Fortinet FortiOS bertsio 7.4.0 eta 7.4.3 artean, 7.2.0 eta 7.2.7 artean, eta 7.0.0 eta 7.0.13 artean, erasotzaile bati kode edo komando ez-baimenduak exekutatzeko aukera ematen dio phishing bidezko SAML autentifikazio lotura baten bidez.
  • CWE-384
  • CVSS: 7.1
  • CVSS bektorea: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H
    • Eraso-bektorea: Sarea
    • Konplexutasuna: Handia
    • Beharrezko pribilegioak: Bat ere ez
    • Erabiltzailearen interakzioa: Beharrezkoa
    • Esparrua: Aldaketarik gabe
    • Konfidentzialtasuna: Handia
    • Osotasuna: Handia
    • Erabilgarritasuna: Handia
  • Ustiaketa: Ez detektatua
  • CVE-2024-23666: Zerbitzari aldeko segurtasun-inplementazio kalteberatasuna Fortinet FortiAnalyzer-BigData-n (bertsioak 7.4.0, 7.2.0 eta 7.2.6 artean, 7.0.1 eta 7.0.6 artean, eta 6.4.5 eta 6.4.7 artean), FortiManager-n (bertsioak 7.4.0 eta 7.4.1 artean, 7.2.0 eta 7.2.4 artean, 7.0.0 eta 7.0.11 artean, eta 6.4.0 eta 6.4.14 artean) eta FortiAnalyzer-n (bertsioak 7.4.0 eta 7.4.1 artean, 7.2.0 eta 7.2.4 artean, 7.0.0 eta 7.0.11 artean, eta 6.4.0 eta 6.4.14 artean) erasotzaile bati sarbide desegokia emateko aukera eman dezake eskaera faltsuen bidez.
  • CWE-602
  • CVSS: 7.1
  • CVSS bektorea: CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H
    • Eraso-bektorea: Sarea
    • Konplexutasuna: Handia
    • Beharrezko pribilegioak: Baxuak
    • Erabiltzailearen interakzioa: Bat ere ez
    • Esparrua: Aldaketarik gabe
    • Konfidentzialtasuna: Handia
    • Osotasuna: Handia
    • Erabilgarritasuna: Handia
  • Ustiaketa: Ez detektatua

Mitigazioa / Konponbidea

  • Gomendagarria da FortiOS 7.4.4 edo goragoko, 7.2.8 edo goragoko, edo 7.0.14 edo goragoko bertsioetara eguneratzea, honako tresna erabiliz: https://docs.fortinet.com/upgrade-tool
  • Gomendagarria da FortiClient (Windows) fabrikatzaileak emandako argibideen arabera bertsio zuzenetara eguneratzea.
  • FortiAnalyzer eta FortiManager fabrikatzaileak gomendatutako bertsioetara eguneratzea.

Erreferentzia gehigarriak