Patch nu. Fortinet verhelpt kritieke RCE-fouten in FortiNAC en FortiWeb

Fortinet heeft beveiligingsupdates uitgebracht voor zijn FortiNAC- en FortiWeb-producten, waarin twee kritieke kwetsbaarheden worden aangepakt waarmee niet-geautoriseerde aanvallers willekeurige code of opdrachten kunnen uitvoeren.

De eerste fout, die betrekking heeft op FortiNAC, wordt getraceerd als CVE-2022-39952 en heeft een CVSS v3-score van 9,8 (kritiek).

FortiNAC is een oplossing voor netwerktoegangsbeheer die organisaties helpt realtime zicht op het netwerk te krijgen, beveiligingsbeleid af te dwingen en bedreigingen op te sporen en te beperken.

“Een externe controle van bestandsnaam of pad kwetsbaarheid [CWE-73] in FortiNAC webserver kan een niet-geauthenticeerde aanvaller in staat stellen arbitraire schrijven op het systeem uit te voeren,” luidt de security advisory.

De producten waarop deze fout betrekking heeft zijn:

FortiNAC versie 9.4.0
FortiNAC versie 9.2.0 tot en met 9.2.5
FortiNAC versie 9.1.0 tot en met 9.1.7
FortiNAC 8.8 alle versies
FortiNAC 8.7 alle versies
FortiNAC 8.6 alle versies
FortiNAC 8.5 alle versies
FortiNAC 8.3 alle versies

De kwetsbaarheid CVE-2022-39952 is verholpen in FortiNAC 9.4.1 en hoger, 9.2.6 en hoger, 9.1.8 en hoger, en 7.2.0 en hoger.

De tweede kwetsbaarheid heeft gevolgen voor FortiWeb: CVE-2021-42756, met een CVSS v3-score van 9,3 (kritiek).

FortiWeb is een web application firewall (WAF) oplossing ontworpen om web apps en API te beschermen tegen cross-site scripting (XSS), SQL injectie, bot aanvallen, DDoS (distributed denial of service), en andere online bedreigingen.

“Meerdere stack-based buffer overflow kwetsbaarheden [CWE-121] in FortiWeb’s proxy daemon kan een niet-geauthenticeerde aanvaller op afstand in staat stellen om willekeurige code uit te voeren via specifiek ontworpen HTTP-verzoeken,” beschrijft Fortinet de advisory.

CVE-2021-42756 is van invloed op onderstaande versies:

FortiWeb versies 5.x alle versies
FortiWeb versies 6.0.7 en lager
FortiWeb-versies 6.1.2 en lager
FortiWeb versies 6.2.6 en lager
FortiWeb versies 6.3.16 en lager
FortiWeb versies 6.4 alle versies

Om de fout te verhelpen, moeten beheerders upgraden naar FortiWeb 7.0.0 of later, 6.3.17 of later, 6.2.7 of later, 6.1.3 of later, en 6.0.8 of later.

Vreemd genoeg geeft de CVE ID aan dat de kwetsbaarheid in 2021 werd ontdekt, maar pas nu openbaar werd gemaakt.

De leverancier heeft geen mitigatieadvies of workarounds verstrekt voor beide gebreken, dus het toepassen van de beschikbare beveiligingsupdates is de enige manier om de risico’s aan te pakken.