Fortinet naprawił krytyczne błędy RCE w FortiNAC i FortiWeb

Firma Fortinet udostępniła aktualizacje bezpieczeństwa dla swoich produktów FortiNAC i FortiWeb, usuwając dwie luki o krytycznym znaczeniu, które mogą pozwolić nieupoważnionym napastnikom na wykonanie dowolnego kodu lub polecenia.

Pierwsza z luk, dotycząca FortiNAC, jest oznaczona jako CVE-2022-39952 i ma wynik CVSS v3 9.8 na 10, czyli jest to krytyczna luka i wymaga jak najszybszego załatania.

FortiNAC to rozwiązanie do kontroli dostępu do sieci, które pomaga organizacjom uzyskać widoczność sieci w czasie rzeczywistym, egzekwować polityki bezpieczeństwa oraz wykrywać i łagodzić zagrożenia.

„Zewnętrzna luka w kontroli nazwy pliku lub ścieżki [CWE-73] w FortiNAC webserver może pozwolić nieuwierzytelnionemu napastnikowi na wykonanie dowolnego zapisu w systemie,”

Luka CVE-2022-39952 została załatana w urządzeniach FortiNAC 9.4.1 i nowszych.

Druga z luk wpływa na działanie FortiWeb to CVE-2021-42756, luka ta otrzymała wynik CVSS v3 na poziomie 9.3, czyli krytyczny i wymaga natychmiastowego załatania.

FortiWeb to rozwiązanie typu web application firewall (WAF) zaprojektowane do ochrony aplikacji internetowych i API przed cross-site scripting (XSS), SQL injection, atakami botów, DDoS (distributed denial of service) i innymi zagrożeniami internetowymi.

„Liczne luki w przepływie bufora oparte na stosie [CWE-121] w demonie proxy FortiWeb mogą pozwolić nieuwierzytelnionemu zdalnemu napastnikowi na osiągnięcie wykonania dowolnego kodu poprzez specjalnie spreparowane żądania HTTP” – opisuje Fortinet w swoim komunikacie.

Aby wyeliminować lukę, administratorzy powinni zaktualizować FortiWeb do wersji 7.0.0 lub nowszej, 6.3.17 lub nowszej, 6.2.7 lub nowszej, 6.1.3 lub nowszej oraz 6.0.8 lub nowszej.

Co dziwne, CVE ID wskazuje, że luka została odkryta w 2021 roku, ale nie została publicznie ujawniona aż do teraz. Producent nie udostępnił porad dotyczących łagodzenia skutków błędu ani obejść dla żadnej z dziur, więc jedynym sposobem na zaradzenie zagrożeniom jest zastosowanie dostępnych aktualizacji bezpieczeństwa.