Fortinet ออกตัวแก้ไขช่องโหว่ความปลอดภัยในอุปกรณ์รักษา FortiWeb และ FortiNAC
เมื่อเร็วๆ นี้ ผู้นำโซลูชันรักษาความปลอดภัยทางไซเบอร์อย่าง Fortinet ได้ออกซอฟต์แวร์อุดช่องโหว่ร้ายแรงในอุปกรณ์รักษาความปลอดภัย FortiNAC และ FortiWeb ที่เปิดโอกาสให้แฮกเกอร์สามารถรันโค้ดคำสั่งได้ตามอาเภอ ผู้โจมตีที่ไม่ได้รับการตรวจสอบสิทธิ์สามารถใช้รหัสหรือคำสั่งตามอำเภอใจได้
ข้อบกพร่องแรกที่ส่งผลกระทบต่ออุปกรณ์ FortiNAC โซลูชันควบคุมการเข้าถึงเครือข่ายที่ช่วยให้องค์กรมองเห็นเครือข่ายแบบเรียลไทม์ บังคับใช้นโยบายความปลอดภัย และตรวจจับภัยคุกคามคือ CVE-2022-39952 และมีคะแนน CVSS v3 อยู่ที่ 9.8 หรือระดับวิกฤตช่องโหว่นี้ ทำให้ผู้ที่ไม่มีสิทธิสามารถทำการแก้ไขข้อมูลในระบบได้
โดยอุปกรณ์ที่ได้รับผลกระทบประกอบด้วย
FortiNAC version 9.4.0
FortiNAC version 9.2.0 through 9.2.5
FortiNAC version 9.1.0 through 9.1.7
FortiNAC 8.8 all versions
FortiNAC 8.7 all versions
FortiNAC 8.6 all versions
FortiNAC 8.5 all versions
FortiNAC 8.3 all versions
ช่องโหว่นี้ได้รับการแก้ไขเรียบร้อยแล้วในอุปกรณ์ FortiNAC ตั้งแต่เวอร์ชัน 9.4.1, 9.2.6, 9.1.8 และ 7.2.0
ขณะที่ช่องโหว่ CVE-2021-42756, ซึ่งมีคะแนน CVSS v3 9.3 ในอุปกรณ์ FortiWeb ซึ่งเป็นโซลูชั่นเว็บแอปพลิเคชั่นไฟร์วอลล์ (WAF) ที่ออกแบบมาเพื่อปกป้องเว็บแอพและ API จากการทำ cross-site scripting (XSS), SQL injection, bot attacks, DDoS (distributed denial of service) และภัยคุกคามออนไลน์อื่นๆ
“ช่องโหว่บัฟเฟอร์โอเวอร์โฟลว์บนสแต็กหลายจุด [CWE-121] ของ FortiWeb อาจเปิดโอกาสให้แฮกเกอร์สามารถโจมตีจากระยะไกล โดยการเรียกใช้โค้ดได้ตามใจชอบผ่าน request HTTP ที่สร้างขึ้นมาโดยเฉพาะ มีอุปกรณ์ที่ได้รับผลกระทบได้แก่
- FortiWeb versions 5.x all versions
- FortiWeb versions 6.0.7 and below
- FortiWeb versions 6.1.2 and below
- FortiWeb versions 6.2.6 and below
- FortiWeb versions 6.3.16 and below
- FortiWeb versions 6.4 all versions
ที่มา : bleepingcomputer