Η Fortinet, κορυφαία εταιρεία λύσεων κυβερνοασφάλειας, προειδοποιεί για δύο κρίσιμες ευπάθειες που επηρεάζουν τα προϊόντα FortiWLM και FortiManager.
Ευπάθεια FortiWLM (CVE-2023-34990):
Μια κρίσιμη ευπάθεια (CVE-2023-34990) εντοπίστηκε στο FortiWLM, μια λύση διαχείρισης ασύρματων δικτύων. Με βαθμολογία CVSS 9.6, το πρόβλημα οφείλεται σε εσφαλμένη επικύρωση της παραμέτρου `imagename` στο endpoint `/ems/cgi-bin/ezrf_lighttpd.cgi`, επιτρέποντας επιθέσεις path traversal για ανάγνωση ευαίσθητων αρχείων. Οι επηρεαζόμενες εκδόσεις είναι:
Διαβάστε σχετικά: Το DEEPDATA framework εκμεταλλεύεται ευπάθεια Fortinet για κλοπή VPN credentials
- FortiWLM 8.6: 8.6.0 – 8.6.5
- FortiWLM 8.5: 8.5.0 – 8.5.4
Η Fortinet κυκλοφόρησε ενημερώσεις και καλεί τους χρήστες να αναβαθμίσουν στην έκδοση 8.6.6 για το 8.6 ή 8.5.5 για το 8.5.
Ευπάθεια FortiManager (CVE-2024-48889):
Μια ακόμη ευπάθεια (CVE-2024-48889) αφορά το FortiManager, μια πλατφόρμα κεντρικής διαχείρισης ασφάλειας. Με βαθμολογία CVSS 7.2, η ευπάθεια προκύπτει από εσφαλμένη εξουδετέρωση ειδικών στοιχείων εντολών OS (CWE-78), επιτρέποντας εξ αποστάσεως εκτέλεση αυθαίρετου κώδικα στους αυθεντικοποιημένους χρήστες. Οι εκδόσεις που επηρεάζονται περιλαμβάνουν:
Δείτε περισσότερα: Fortinet: Ευπάθεια στο FortiManager χρησιμοποιήθηκε σε επιθέσεις
- FortiManager 7.6: 7.6.0
- FortiManager 7.4: 7.4.0 – 7.4.4
- FortiManager 7.2: 7.2.3 – 7.2.7
- FortiManager 7.0: 7.0.5 – 7.0.12
- FortiManager 6.4: 6.4.10 – 6.4.14
Τα παλαιότερα μοντέλα FortiAnalyzer με ενεργοποιημένη τη λειτουργία `fmg-status` επηρεάζονται επίσης. Η Fortinet κυκλοφόρησε ενημερώσεις για όλες τις εκδόσεις και προτείνει αναβάθμιση στις τελευταίες εκδόσεις.
Διαβάστε επίσης: Ευπάθεια RCE του SharePoint επιτρέπει παραβίαση domain
Η άμεση εφαρμογή αυτών των ενημερώσεων είναι ζωτικής σημασίας για την προστασία από επιθέσεις. Η Fortinet παρέχει λεπτομερείς συμβουλές για τις επηρεαζόμενες εκδόσεις και τα βήματα αποκατάστασης. Οι ευπάθειες αυτές υπογραμμίζουν τη σημασία των τακτικών ενημερώσεων και της επαγρύπνησης στον τομέα της κυβερνοασφάλειας.
Πηγή: cybersecuritynews
