Tilkynnt var um alvarlegan veikleika í FortiNAC hjá Fortinet. Ógnaraðilar geta notað veikleikann til að keyra kóða sem kerfisstjóri (e. Remote Code Execution). CERT-IS mælir með að uppfært sé eins fljótt og auðið er í útgáfu þar sem veikleikinn hefur verið lagfærður.
CVE-2023-33299
Veikleikinn CVE-2023-33299 með CVSSv3 einkunn upp á 9.6 gerir ógnaraðila kleift að senda sérhannaða beiðni á TCP/1050 þjónustuna (á FortiNAC) til að öðlast réttindi til keyrslu á kóða sem kerfisstjóri (e. Remote Code Execution) [1,2,3].
Eftirfarandi kerfi er veikt fyrir gallanum:
FortiNAC: Útgáfa 9.4.0 til og með 9.4.2
FortiNAC: Útgáfa 9.2.0 til og með 9.2.7
FortiNAC: Útgáfa 9.1.0 til og með 9.1.9
FortiNAC: Útgáfa 7.2.0 til og með 7.2.1
FortiNAC: Allar útgáfur af 8.8, 8.7, 8.6, 8.5 og 8.3
Veikleikinn hefur verið lagfærður í eftirfarandi útgáfum:
FortiNAC: Útgáfa frá og með 9.4.3
FortiNAC: Útgáfa frá og með 9.2.8
FortiNAC: Útgáfa frá og með 9.1.10
FortiNAC: Útgáfa frá og með 7.2.2
Tilvísanir:
[1] https://www.fortiguard.com/psirt/FG-IR-23-074
[2] https://www.bleepingcomputer.com/news/security/fortinet-fixes-critical-fortinac-remote-command-execution-flaw/
[3] https://securityaffairs.com/147770/security/fortinet-fortinac-critical-flaw.html
