Անվտանգության հերթական խոցելիության հարցը լուծելու համար Fortinet-ը նոր թարմացումներ է ներկայացրել, որն ազդում է իր՝ FortiNAC ցանցի մուտքի վերահսկման վրա և կարող է հանգեցնել execution code-ի գործարկման:
Որակվելով որպես CVE-2023-33299 խոցելիություն, CVSS գնահատման համակարգում այն գնահատվել է 9,6 միավոր խստությամբ:
«FortiNAC-ում անվստահելի տվյալների [CWE-502] խոցելիության ապասերիալացումը չվավերացված օգտատիրոջը, tcp/1050 ծառայության հատուկ մշակված հարցումների միջոցով կարող է թույլ տալ գործարկել չլիազորված հրամաններ», – իր անցյալ շաբաթվա ընթացքում հրապարակված զեկույցում նշում է Fortinet-ը:
Խդիրն ազդում է հետևյալ ապրանքների վրա՝ FortiNAC 7.2.2, FortiNAC 9.1.10, 9.2.8 FortiNAC 9.4.3՝
FortiNAC -ի 9.4.0-ից – 9.4.2 տարբերակները
FortiNAC -ի 9.2.0-ից – 9.2.7 տարբերակները
FortiNAC -ի 9.1.0-ից – 9.1.9 տարբերակները
FortiNAC -ի 7.2.0-ից – 7.2.1 տարբերակները
FortiNAC 8.8-ի բոլոր տարբերակները
FortiNAC 8.7-ի բոլոր տարբերակները
FortiNAC 8.6-ի բոլոր տարբերակները
FortiNAC 8.5-ի բոլոր տարբերակները
FortiNAC 8.3-ի բոլոր տարբերակները
Խնդրի մասին լայնամասշտաբորեն խոսվեց FortiOS-ի և FortiProxy-ի վրա ազդող մեկ այլ կարևոր խոցելիության ակտիվ շահագործումից հետո (CVE-2023-27997, CVSS համակարգում միավորը՝ 9.2), որը հատուկ մշակված հարցումների միջոցով հաքերին թույլ էր տվել կամայական կոդ և հրամաններ գործարկել:
Այս ամենը հասունացավ նաև այն բանից հետո, երբ Fortinet-ը FortiNAC-ում դիմեց լուրջ սխալի (CVE-2022-39952, CVSS-ում միավորը՝ 9.8), որը և հանգեցրեց կամայական կոդի կատարման: Նշված խոցելիությունն այդ ժամանակից ի վեր տարբեր նպատակներով ակտիվ շահագործման է ենթարկվել:
Մշակման ընթացքում Grafana-ն թողարկեց անվտանգության կրիտիկական խոցելիությանն ուղղված (CVE-2023-3128) անհրաժեշտ շտկումներ, որոնք սակայն հաքերներին թույլ տվեցին շրջանցել նույնականացումը և հասանելիություն ստանալ ցանկացած օգտահաշվի: Նույնականացման համար հիմնականում կիրառվել է Azure Active Directory-ին:
«Շահագործման ժամանակ հաքերները կարող են ձեռք բերել օգտատիրոջ օգտահաշվի ամբողջական վերահսկողություն՝ ներառյալ հաճախորդների անձնական տվյալների և կոնֆիդենցիալ տեղեկատվության հասանելիությունը», -նշում է Grafana-ն:
Աղբյուրը՝ https://thehackernews.com/
