Kriittinen haavoittuvuus Fortinetin FortiOS-käyttöjärjestelmässä

Fortinet julkaisi FortiOS-ohjelmistoon päivityspaketit, jotka korjaavat kriittiseksi luokitellun haavoittuvuuden.

Muistin käsittelyyn liittyvää kriittistä haavoittuvuutta hyväksikäyttämällä hyökkääjä voi suorittaa mielivaltaisia komentoja kohdelaitteella.

Samassa yhteydessä julkaistiin päivityksiä myös useisiin muihin vaikutuksiltaan vähäisempiin haavoittuvuuksiin Fortinetin tuotteissa.

Haavoittuvuuden kohde

FortiOS versiot 7.2.0 - 7.2.3
FortiOS versiot 7.0.0 - 7.0.9
FortiOS versiot 6.4.0 - 6.4.11
FortiOS versiot 6.2.0 - 6.2.12
FortiOS sarjan 6.0 kaikki versiot
FortiProxy versiot 7.2.0-7.2.2
FortiProxy versiot 7.0.0-7.0.8
FortiProxy versiot 2.0.0-2.0.11
FortiProxy sarjan 1.2 kaikki versiot
FortiProxy sarjan 1.1 kaikki versiot

Mistä on kysymys?

Päivitä FortiOS versiot 7.2.0 - 7.2.3 versioon 7.2.4 tai tätä uudempaan
Päivitä FortiOS versiot 6.4.0 - 6.4.11 versioon 6.4.12 tai tätä uudempaan
Päivitä FortiOS versiot 6.2.0 - 6.2.12 versioon 6.2.13 tai tätä uudempaan
Päivitä FortiOS-6K7K versiot 7.0.0 - 7.0.9 versioon 7.0.10 tai tätä uudempaan
Päivitä FortiOS-6K7K versiot 6.4.0 - 6.4.11 versioon 6.4.12 tai tätä uudempaan
Päivitä FortiOS-6K7K versiot 6.2.0 - 6.2.12 versioon 6.2.13 tai tätä uudempaan
Päivitä FortiProxy versiot 7.2.0-7.2.2 versioon 7.2.3 tai tätä uudempaan
Päivitä FortiProxy versiot 7.0.0-7.0.8 versioon 7.0.9 tai tätä uudempaan
Päivitä tulevaan FortiProxy-versioon 2.0.12 tai tätä uudempaan

Haavoittuvuuden vaikutukset rajoittuvat palvelunestotilaan osassa FortiGate- ja FortiWiFi-laitemalleja. Katso tarkemmat laitetiedot valmistajan tiedotteesta.

Mikäli päivittäminen ei ole mahdollista, voi haavoittuvuuden aiheuttamaa riskiä vähentä rajaamalla pääsyä FortiOS -hallintakomponenttiin kunnes päivitys voidaan asentaa.

Mitä voin tehdä?

Fortinetin haavoittuvuustiedote (ulkoinen linkki)

Fortinetin haavoittuvuustiedotteet listaava sivusto (ulkoinen linkki)

Verkon aktiivilaitteet

Verkon aktiivilaitteilla tarkoitetaan sellaisia laitteita, jotka ovat yleensä tavallisen käyttäjän näkymättömissä, kuten esimerkiksi reitittimet, kytkimet ja palomuurit. Nämä laitteet ja niiden ohjelmistot välittävät tai suodattavat verkkoliikennettä.

Palvelimet ja palvelinsovellukset

Palvelinten ja palvelinohjelmistojen haavoittuvuudet koskevat esimerkiksi sähköisten asiointipalvelujen tarjoajia. Tyypillisiä kohteita ovat palvelinten käyttöjärjestelmät ja www- tai sähköpostipalvelinohjelmistot kuten esimerkiksi SunOS, Linux, Apache, IIS tai Sendmail.

Etäkäyttö

Etäkäyttöisesti tehtävän hyökkäyksen voi tehdä tietoverkkoyhteyden tai vastaavan kautta ilman että pääsee itse kohteena olevan järjestelmän luokse.

Ilman käyttäjän toimia

Ilman käyttäjän toimia tapahtuva hyökkäys kohdistuu suoraan haavoittuvuuteen ilman että järjestelmän käyttäjältä vaaditaan mitään toimia hyökkäyksen onnistumiseksi. Käyttäjän ei esimerkiksi tarvitse selailla www-sivuja tai käynnistää ohjelmaa tietokoneessa, vaan hyökkäys onnistuu ilman käyttäjän apua.

Ilman kirjautumista

Hyökkäys ei vaadi kohteena olevaan järjestelmään kirjautumista. Vastakohtana ovat sellaiset hyökkäykset, jotka vaativat käyttäjätunnuksen ja salasanan käyttöä ja esimerkiksi komentojen suorittamista järjestelmään kirjautuneena.

Palvelunestohyökkäys

Palvelunestohyökkäyksen tarkoituksena on estää kohdejärjestelmää toimimasta siinä tehtävässä mihin se on tarkoitettu. Hyökkäyksen tarkoituksena voi olla esimerkiksi www- tai sähköpostipalvelimen kuormittaminen runsaalla verkkoliikenteellä.

Komentojen mielivaltainen suorittaminen

Komentojen mielivaltaisen suorittamisen mahdollistavaa haavoittuvuutta on pidettävä vakavana, sillä se tarkoittaa sitä, että hyväksikäyttäjä voi käyttää kohteena olevaa järjestelmää aivan kuin sen tavallinen käyttäjäkin. Se voi johtaa myös siihen, että järjestelmään murtautunut hyökkääjä voi ladata verkon kautta järjestelmään omia ohjelmiaan suoritettavaksi.

Suojauksen ohittaminen

Suojauksen ohittamisella tarkoitetaan sitä, että haavoittuvuutta hyväksikäyttämällä ohitetaan järjestelmän käytön rajoittamiseksi tehty suojaus esimerkiksi liikennöimällä palomuurin ohi suojattuun verkkoon.

Tietojen muokkaaminen

Järjestelmään talletettujen tietojen muokkaaminen ei välttämättä edellytä komentojen suorittamista, käyttövaltuuksien laajentamista tai järjestelmään kirjautumista. Esimerkiksi käyttämällä hyväksi www-palvelinohjelmiston haavoittuvuutta voi hyökkääjä luvatta muuttaa palvelimella näkyvien verkkosivujen sisältöä.

Luottamuksellisen tiedon hankkiminen

Luottamuksellisten tietojen hankkiminen kohdejärjestelmästä edellyttää sitä, että sen tietosisältöä, esimerkiksi kiintolevylle talletettuja tiedostoja, pääsee lukemaan luvatta ja välittämään edelleen.

Ei julkaistu

Haavoittuvuuden käyttöaste ei ole tiedossa.

Korjaava ohjelmistopäivitys

Ohjelmisto- tai laitevalmistaja julkaisee tavallisesti pian uuden version tai osittaisen päivityksen ohjelmistoon tai käyttöjärjestelmään sen jälkeen kun haavoittuvuus on tullut julki. Päivitys voi olla saatavilla samalla kun haavoittuvuuskin julkaistaan, mutta usein sitä joudutaan odottelemaan jonkin aikaa.