CVE-2023-25610 ثغرة أمنية خطيرة لـ RCE في FortiOS: كل ما تحتاج إلى معرفته

في 7 مارس، نشرت Fortinet استشاريًا بشأن CVE-2023-25610، وهي ثغرة أمنية خطيرة في تنفيذ التعليمات البرمجية عن بُعد (RCE) في FortiOS، نظام تشغيل Fortinet. تمثل مشكلة عدم الحصانة هذه خطأً في الكتابة المؤقتة في الواجهة الإدارية مما قد يسمح لمهاجم غير مصادق عليه عن بعد بتنفيذ تعليمات برمجية باستخدام طلبات معدة خصيصًا.

يوصى بشدة بترقية مثيلات FortiOS إلى الإصدارات المصححة.

ما هو CVE-2023-25610؟

الواجهة الإدارية لـ FortiOS وFortiProxy معرضة لاستغلال عملية استغلال المخزن المؤقت (المعروف أيضًا باسم “تدفق المخزن المؤقت”). تحدث ثغرة الكتابة في المخزن المؤقت عندما يكتب أحد البرامج البيانات إلى مخزن مؤقت (منطقة تخزين مؤقتة) بحجم أصغر من البيانات التي تتم كتابتها. يمكن أن يؤدي ذلك إلى استبدال البيانات بمواقع الذاكرة المجاورة.

من المحتمل أن تسمح هذه الثغرة الأمنية لمهاجم غير مصادق بتنفيذ تعليمات برمجية عشوائية عن بعد على الجهاز أو تنفيذ هجوم رفض الخدمة (DoS) على واجهة المستخدم الرسومية. سيتضمن الهجوم إرسال طلبات معدة خصيصًا إلى الجهاز.

وقد تم إثبات المفهوم نشرت في 11 مارس، مما سيزيد من احتمالية استغلال هذه الثغرة الأمنية في البرية.

بيانات Wiz Research: ما المخاطر التي تتعرض لها البيئات السحابية؟

استنادًا إلى بيانات Wiz، فإن 9% من بيئات المؤسسات السحابية معرضة لهذه الثغرة الأمنية، ومن بين البيئات التي تستخدم FortiOS، فإن 80% من البيئات التي تستخدم FortiOS لم تقم بعد بتصحيحها.

هذه هي الثغرة الحرجة الثالثة في FortiOS هذا العام، والثغرة السابقة هي CVE-2022-42475, والتي تم استغلالها بسرعة بعد نشرها، لذلك يجب أن نتوقع استغلال هذه الثغرة الأمنية الأخيرة أيضًا.

ما هي المنتجات التي تتأثر؟

• إصدارات FortiOS من 7.2.0 إلى 7.2.3

• إصدارات FortiOS من 7.0.0 إلى 7.0.9

• إصدارات FortiOS من 6.4.0 إلى 6.4.11

• إصدارات FortiOS من 6.2.0 إلى 6.2.12

• فورتيوس 6.0 (جميع الإصدارات)

• إصدارات FortiProxy من 7.2.0 إلى 7.2.2

• إصدارات FortiProxy من 7.0.0 إلى 7.0.8

• إصدارات FortiProxy من 2.0.0 إلى 2.0.11

• فورتي بروكسي 1.2 (جميع الإصدارات)

• فورتي بروكسي 1.1 (جميع الإصدارات)

وفقًا لـ Fortinet، من المحتمل أيضًا أن تتأثر منتجات إضافية بهذه الثغرة الأمنية، لكن المهاجم يمكنه فقط تنفيذ رفض الخدمة (DoS) وليس تنفيذ التعليمات البرمجية عن بُعد (RCE). عرض القائمة الكاملة للمنتجات المتضررة هنا.

ما هي الإجراءات التي يجب على فرق الأمن اتخاذها؟

لمعالجة هذه المشكلة، يرجى ترقية المنتجات المعرضة للخطر إلى الإصدارات المصححة التالية:

• إصدار FortiOS 7.4.0 أو أعلى

• إصدار FortiOS 7.2.4 أو أعلى

• إصدار FortiOS 7.0.10 أو أعلى

• إصدار FortiOS 6.4.12 أو أعلى

• إصدار FortiOS 6.2.13 أو أعلى

• FortiProxy الإصدار 7.2.3 أو أعلى

• FortiProxy الإصدار 7.0.9 أو أعلى

• FortiProxy الإصدار 2.0.12 أو أعلى

• FortiOS-6K7K الإصدار 7.0.10 أو أعلى

• FortiOS-6K7K الإصدار 6.4.12 أو أعلى

• FortiOS-6K7K الإصدار 6.2.13 أو أعلى

يمكن لعملاء Wiz استخدام الاستعلام والاستشارات المعدة مسبقًا في Wiz Threat Center للبحث عن المثيلات الضعيفة في بيئتهم.

إذا لم تتمكن من ترقية مثيلات FortiOS الضعيفة، فمن الممكن استخدام الحلول البديلة التالية للتخفيف من الثغرة الأمنية:

1. قم بتعطيل الواجهة الإدارية HTTP/HTTPS.

2. وبدلاً من ذلك، يمكنك تحديد عناوين IP التي يمكنها الوصول إلى الواجهة الإدارية، وذلك باتباع الإرشادات التالية:

config firewall address 
edit "my_allowed_addresses" 
set subnet <MY IP> <MY SUBNET> 
end 

config firewall addrgrp 
edit "MGMT_IPs" 
set member "my_allowed_addresses" 
end 

config firewall local-in-policy 
edit 1 
set intf port1 
set srcaddr "MGMT_IPs" 
set dstaddr "all" 
set action accept 
set service HTTPS HTTP 
set schedule "always" 
set status enable 
next 
edit 2 
set intf "any" 
set srcaddr "all" 
set dstaddr "all" 
set action deny 
set service HTTPS HTTP 
set schedule "always" 
set status enable 
end 

config firewall service custom 
edit GUI_HTTPS 
set tcp-portrange <admin-port> 
next 
edit GUI_HTTP 
set tcp-portrange <admin-port> 
end 

مراجع