Fortinet waarschuwt voor kritiek FortiOS-lek dat aanvaller code laat uitvoeren

[Captain Kirk]

Fortinet waarschuwt organisaties voor twee kritieke kwetsbaarheden in de captive portal van FortiOS en FortiProxy waardoor een aanvaller code en commando's op het systeem kan uitvoeren. De impact van de beveiligingslekken (CVE-2023-42789 en CVE-2023-42790) is op een schaal van 1 tot en met 10 beoordeeld met een 9.3.

FortiOS is het besturingssysteem van Fortinet dat op allerlei netwerkapparaten draait, zoals firewalls en vpn-systemen. FortiProxy is een webgateway. Beide producten bieden een captive portal die gebruikers authenticeert voordat ze toegang tot 'web resources' krijgen. Door het versturen van speciaal geprepareerde HTTP requests kan een aanvaller een out-of-bounds write of buffer overflow veroorzaken en zo code of commando's op het systeem uitvoeren.

Fortinet heeft beveiligingsupdates voor FortiOS en FortiProxy uitgebracht. Daarnaast kunnen organisaties ook een workaround doorvoeren wat misbruik van de beveiligingslekken voorkomt. Vorige week bleek nog dat 150.000 Fortinet-apparaten een belangrijke beveiligingsupdate voor een actief aangevallen kwetsbaarheid niet hebben geïnstalleerd.

 

bron: https://www.security.nl