Kriittinen haavoittuvuus Fortinetin FortiOS ja FortiProxy -ohjelmistoissa | Traficom
Siirry pääsisältöön
Kyberturvallisuuskeskus
Ilmoita tietoturvaloukkauksesta
Ilmoita tietoturvaloukkauksesta
Ilmoita tietoturvaloukkauksesta

Kriittinen haavoittuvuus Fortinetin FortiOS ja FortiProxy -ohjelmistoissa

13. kesäkuuta 2023 klo 10.19

Fortinetin FG-IR-23-097 päivitys korjaa kriittisen haavoittuvuuden FortiOS ja FortiProxy -ohjelmistojen SSL-VPN -komponentissa. Muistin käsittelyyn liittyvää kriittistä haavoittuvuutta hyväksikäyttämällä hyökkääjä voi suorittaa mielivaltaisia komentoja kohdelaitteella. Fortinet suosittelee päivittämään haavoittuvat ohjelmistot pikaisesti.

Fortinetin mukaan haavoittuvuutta on mahdollisesti käytetty hyväksi rikollisten toimesta rajallisessa määrässä tapauksia. 

Fortinetin muut kesäkuun päivitykset korjaavat useita haavoittuvuuksia eri tuotteissa.

Haavoittuvuuden kohde

FortiOS-6K7K versio 7.0.10
FortiOS-6K7K versio 7.0.5
FortiOS-6K7K versio 6.4.12
FortiOS-6K7K versio 6.4.10
FortiOS-6K7K versio 6.4.8
FortiOS-6K7K versio 6.4.6
FortiOS-6K7K versio 6.4.2
FortiOS-6K7K versiot 6.2.9 - 6.2.13
FortiOS-6K7K versiot 6.2.6 - 6.2.7
FortiOS-6K7K versio 6.2.4
FortiOS-6K7K versiot 6.0.12 - 6.0.16
FortiOS-6K7K versio 6.0.10

FortiProxy versiot 7.2.0 - 7.2.3
FortiProxy versiot 7.0.0 - 7.0.9
FortiProxy versiot 2.0.0 - 2.0.12
FortiProxy 1.2 kaikki versiot
FortiProxy 1.1 kaikki versiot

FortiOS versiot 7.2.0 - 7.2.4
FortiOS versiot 7.0.0 - 7.0.11
FortiOS versiot 6.4.0 - 6.4.12
FortiOS versiot 6.0.0 - 6.0.16

Mistä on kysymys?

Päivitä FortiOS-6K7K versioon 7.0.12 tai tätä uudempaan
Päivitä FortiOS-6K7K versioon 6.4.13 tai tätä uudempaan
Päivitä FortiOS-6K7K versioon 6.2.15 tai tätä uudempaan
Päivitä FortiOS-6K7K versioon 6.0.17 tai tätä uudempaan

Päivitä FortiProxy versioon 7.2.4 tai tätä uudempaan
Päivitä FortiProxy versioon 7.0.10 tai tätä uudempaan
Päivitä FortiProxy versioon 2.0.13 tai tätäuudempaan

Päivitä FortiOS versioon 7.4.0 tai tätä uudempaan
Päivitä FortiOS versioon 7.2.5 tai tätä uudempaan
Päivitä FortiOS versioon 7.0.12 tai tätä uudempaan
Päivitä FortiOS versioon 6.4.13 tai tätä uudempaan
Päivitä FortiOS versioon 6.2.14 tai tätä uudempaan
Päivitä FortiOS versioon 6.0.17 tai tätä uudempaan

Verkon aktiivilaitteet

Verkon aktiivilaitteilla tarkoitetaan sellaisia laitteita, jotka ovat yleensä tavallisen käyttäjän näkymättömissä, kuten esimerkiksi reitittimet, kytkimet ja palomuurit. Nämä laitteet ja niiden ohjelmistot välittävät tai suodattavat verkkoliikennettä.

Etäkäyttö

Etäkäyttöisesti tehtävän hyökkäyksen voi tehdä tietoverkkoyhteyden tai vastaavan kautta ilman että pääsee itse kohteena olevan järjestelmän luokse.

Ilman kirjautumista

Hyökkäys ei vaadi kohteena olevaan järjestelmään kirjautumista. Vastakohtana ovat sellaiset hyökkäykset, jotka vaativat käyttäjätunnuksen ja salasanan käyttöä ja esimerkiksi komentojen suorittamista järjestelmään kirjautuneena.

Komentojen mielivaltainen suorittaminen

Komentojen mielivaltaisen suorittamisen mahdollistavaa haavoittuvuutta on pidettävä vakavana, sillä se tarkoittaa sitä, että hyväksikäyttäjä voi käyttää kohteena olevaa järjestelmää aivan kuin sen tavallinen käyttäjäkin. Se voi johtaa myös siihen, että järjestelmään murtautunut hyökkääjä voi ladata verkon kautta järjestelmään omia ohjelmiaan suoritettavaksi.

Rikollisessa käytössä

Haavoittuvuus on rikollisessa käytössä.

Korjaava ohjelmistopäivitys

Ohjelmisto- tai laitevalmistaja julkaisee tavallisesti pian uuden version tai osittaisen päivityksen ohjelmistoon tai käyttöjärjestelmään sen jälkeen kun haavoittuvuus on tullut julki. Päivitys voi olla saatavilla samalla kun haavoittuvuuskin julkaistaan, mutta usein sitä joudutaan odottelemaan jonkin aikaa.