Siber Muhbir

Şirket, "FortiClientEMS'deki bir SQL Komutu ('SQL Enjeksiyonu') güvenlik açığında [CWE-89] kullanılan özel öğelerin uygunsuz bir şekilde etkisiz hale getirilmesi, kimliği doğrulanmamış bir saldırganın özel olarak hazırlanmış istekler aracılığıyla yetkisiz kod veya komutlar yürütmesine izin verebilir" dedi.

CVE-2023-48788 olarak izlenen güvenlik açığı, maksimum 10 üzerinden 9,3 CVSS derecesine sahiptir. Aşağıdaki sürümleri etkiler -

• FortiClientEMS 7.2.0 - 7.2.2 (7.2.3 veya üstüne yükseltme)
• FortiClientEMS 7.0.1 - 7.0.10 (7.0.11 veya üstüne yükseltme)

Önümüzdeki hafta ek teknik ayrıntılar ve bir kavram kanıtı (PoC) açığı yayınlamayı planlayan Horizon3.ai, sunucuda SYSTEM olarak uzaktan kod yürütülmesini sağlamak için eksikliğin kullanılabileceğini söyledi.

Fortinet, ForticlientEMS geliştirme ekibinden Thiago Santana'ya ve Birleşik Krallık Ulusal Siber Güvenlik Merkezi'ne (NCSC) kusuru keşfettiği ve bildirdiği için teşekkür etti.

Ayrıca şirket tarafından FortiOS ve FortiProxy'deki diğer iki kritik hata (CVE-2023-42789 ve CVE-2023-42790, CVSS puanları: 9.3) sabit portala erişimi olan bir saldırganın özel hazırlanmış HTTP istekleri aracılığıyla rastgele kod veya komutlar yürütmesine izin verebilir.

Aşağıdaki ürün sürümleri kusurlardan etkilenir -

• FortiOS sürüm 7.4.0 - 7.4.1 (FortiOS sürüm 7.4.2 veya üstüne yükseltme)
• FortiOS sürüm 7.2.0 - 7.2.5 (FortiOS sürüm 7.2.6 veya üstüne yükseltme)
• FortiOS sürüm 7.0.0 - 7.0.12 (FortiOS sürüm 7.0.13 veya üstüne yükseltme)
• FortiOS sürüm 6.4.0 - 6.4.14 (FortiOS sürüm 6.4.15 veya üzeri bir sürüme yükseltme)
• FortiOS sürüm 6.2.0 - 6.2.15 (FortiOS sürüm 6.2.16 veya üstüne yükseltme)
• FortiProxy sürüm 7.4.0 (FortiProxy sürüm 7.4.1 veya üstüne yükseltme)
• FortiProxy sürüm 7.2.0 - 7.2.6 (FortiProxy sürüm 7.2.7 veya üstüne yükseltme)
• FortiProxy sürüm 7.0.0 - 7.0.12 (FortiProxy sürüm 7.0.13 veya üstüne yükseltin)
• FortiProxy sürüm 2.0.0 - 2.0.13 (FortiProxy sürüm 2.0.14 veya üzeri bir sürüme yükseltin)

Yukarıda bahsedilen kusurların aktif olarak istismar edildiğine dair bir kanıt bulunmamakla birlikte, yama uygulanmamış Fortinet cihazları tehdit aktörleri tarafından defalarca kötüye kullanıldı ve bu da kullanıcıların güncellemeleri uygulamak için hızlı hareket etmesini zorunlu hale getirdi.

Güncelleştirmek

Siber güvenlik şirketi Horizon3.ai, ayrı bir raporda, geçen yıl Fortinet'e bildirdiği FortiWLM ve FortiSIEM güvenlik açıklarından ikisinin bugüne kadar yamalanmadığını açıkladı.

• Kimliği Doğrulanmamış Sınırlı Günlük Dosyası Okuma - Yönetici oturum kimliği belirteçleri içeren rastgele günlük dosyalarının alınmasına izin verir
• Statik Oturum Kimliği Güvenlik Açığı - Oturum kimlikleri, kullanıcılar için oturumlar arasında değişmez. Yukarıdaki sorunla zincirleme, cihazın önemsiz bir şekilde tehlikeye atılmasına izin verir.

Güvenlik araştırmacısı Zach Hanley, "Kimliği doğrulanmış kullanıcıların web oturumu kimliği belirteci, oturumlar arasındaki kullanıcılar için statik ve değişmeden kalır" dedi. "Bir kullanıcı her oturum açtığında, tam olarak aynı oturum kimliği belirtecini alır. Bu belirteç, aygıtın her önyüklemesi için statik kalır."

"Bu belirteci elde edebilen bir saldırgan, oturumları ele geçirmek ve yönetim eylemleri gerçekleştirmek için bu davranışı kötüye kullanabilir. Bu oturum kimliği, yukarıdaki yama sınırlı günlük dosyası okuma güvenlik açığıyla alınabilir ve gereç için yönetici izinleri almak için kullanılabilir."

CVE-2023-48788 Aktif Saldırı Altında Geliyor

Fortinet, CVE-2023-48788 için tavsiyesini "güvenlik açığından vahşi doğada yararlanıldığını" belirtecek şekilde revize etti. Saldırıların doğası ve bunları kötüye kullanabilecek tehdit aktörleri hakkında başka herhangi bir ayrıntı vermedi.

Horizon3.ai ayrıca, "SQL enjeksiyon güvenlik açığının, doğrudan veritabanı sorgularına geçirilen kullanıcı tarafından kontrol edilen dizelerden kaynaklandığını" belirterek kusur için bir PoC istismarı yayınladı.

Bununla birlikte, PoC'nin, kod yürütmeyi sağlamak için bir Windows komut kabuğu oluşturmak üzere Microsoft SQL Server xp_cmdshell işlevselliğini kullanacak şekilde değiştirilmesi gerekir.

Diğer haberlerimiz hakkında daha fazla bilgi için Twitter sayfamızı, Instagram sayfamızı ve LinkedIn sayfamızı takip etmeyi unutmayın.