BSI застерігає від активного використання критичної вразливості у Fortinet SSL VPN. Служба FortiOS, яка використовується на брандмауерах FortiGate, дозволяє зловмисникам виконувати шкідливий код або команди.
Відповідно до BSI, компанії, які використовують брандмауери FortiGate, повинні якомога швидше виправити свої пристрої. Уразливість визначається виробником Загальна система оцінки вразливостей (CVSS) v3.1 отримав оцінку «критично» із загальною оцінкою CVSS 9.3 з 10. Уразливості присвоєно CVE-2022-42475. За даними Fortinet PSIRT – групи реагування на інциденти безпеки продукту – у службі SSL VPN існує вразливість до переповнення буфера на основі динамічної пам’яті.
Брандмауери FortiGate: активне використання вразливості
PSIRT Fortinet вказує, що вразливість уражена такими версіями продуктів:
- FortiOS-6K7K версії 7.0.0 – 7.0.7
- FortiOS-6K7K версії 6.4.0 – 6.4.9
- FortiOS-6K7K версії 6.2.0 – 6.2.11
- FortiOS-6K7K версії 6.0.0 – 6.0.14
- FortiOS версії 7.2.0 – 7.2.2
- FortiOS версії 7.0.0 – 7.0.8
- FortiOS версії 6.4.0 – 6.4.10
- FortiOS версії 6.2.0 – 6.2.11
Виробник Fortinet також повідомив, що вже спостерігався один випадок успішного використання вразливості. Тому рекомендується негайне впровадження заходів з виправлення. На своєму веб-сайті Fortinet надає інструкції для вже придатних патчів.
- FortiOS версії 7.2.3 або вище
- FortiOS версії 7.0.9 або вище
- FortiOS версії 6.4.11 або вище
- FortiOS версії 6.2.12 або вище
- FortiOS-6K7K версії 7.0.8 або вище
- FortiOS-6K7K версії 6.4.10 або вище
- FortiOS-6K7K версії 6.2.12 або вище
- FortiOS-6K7K версії 6.0.15 або вище
Про Федеральне відомство з інформаційної безпеки (BSI) Федеральне відомство з інформаційної безпеки (BSI) є федеральним органом з кібербезпеки та розробником безпечної цифровізації в Німеччині. Заява місії: BSI, як федеральний орган кібербезпеки, розробляє інформаційну безпеку в оцифровці шляхом запобігання, виявлення та реагування для держави, бізнесу та суспільства.