Fortinet, FortiOS ve FortiProxy’yi etkileyen ve güncelleme yapılmam cihazlarda uzaktan kod yürütme zafiyetine yol açan kritik güvenlik açığı hakkında bilgi verdi.
Watchtowr adlı bir siber güvenlik firması tarafından keşfedilen bu açık, CVE-2023-33308 olarak takip ediliyor ve CVS v3 değerlendirme sisteminde 10 üzerinden 9.8’lik “kritik” bir dereceye sahip.
Fortinet son yaptığı açıklamada, “FortiOS ve FortiProxy’deki stack-based overflow zafiyeti, proxy politikalarına veya SSL deep packet inspection ile birlikte proxy modlu güvenlik duvarı politikalarına ulaşan özel olarak oluşturulmuş paketler aracılığıyla uzaktan bir saldırganın RCE veya komut yürütmesine olanak sağlayabilir” şeklinde uyarıda bulundu.
Saldırganlar, bu tür açıkları kritik bellek parametreleri üzerine yazarak kötü amaçlı kod yürütme yetkisi elde edebilir.
Bu açık, aşağıdaki FortiOS sürümlerini etkiliyor:
FortiOS 7.2.0 ile 7.2.3 arasındaki sürümler
FortiOS 7.0.0 ile 7.0.10 arasındaki sürümler
FortiProxy 7.2.0 ile 7.2.2 arasındaki sürümler
FortiProxy 7.0.0 ile 7.0.9 arasındaki sürümler
Fortinet, sorunun önceki bir sürümde çözüldüğünü ve buna ilişkin bir bildiri olmadığını belirterek, en son sürüm olan FortiOS 7.4’ü etkilemediğini açıkladı.
CVE-2023-33308 için düzeltmeler aşağıdaki sürümlerde sağlanmıştır:
FortiOS 7.2.4 veya üzeri sürümler
FortiOS 7.0.11 veya üzeri sürümler
FortiProxy 7.2.3 veya üzeri sürümler
FortiProxy 7.0.10 veya üzeri sürümler
CISA da açıkla ilgili bir uyarı yayınladı ve etkilenen kuruluşlara mevcut güvenlik güncellemesini uygulamaları konusunda çağrıda bulundu.
IT uzmanları güncellemeleri hemen uygulayamazlarsa, Fortinet, geçici bir çözüm olarak proxy politikalarında veya proxy modlu güvenlik duvarı politikalarında kullanılan SSL profillerinde HTTP/2 desteğini devre dışı bırakabileceklerini belirtiyor.
config firewall ssl-ssh-profile
edit "custom-deep-inspection"
set supported-alpn http1-1
next
endKaynak: bleepingcomputer.com