Fortinet heeft een advies uitgebracht voor een inmiddels gepatcht kritiek beveiligingslek dat gevolgen heeft voor Wireless LAN Manager (FortiWLM) en dat zou kunnen leiden tot openbaarmaking van gevoelige informatie.
De kwetsbaarheid, bijgehouden als CVE-2023-34990, heeft een CVSS-score van 9,6 op een maximum van 10,0.
“Een relatieve padtraversal (CWE-23) in FortiWLM kan een niet-geauthenticeerde aanvaller op afstand in staat stellen gevoelige bestanden te lezen”, zei het bedrijf in een waarschuwing die woensdag werd vrijgegeven.
Volgens een beschrijving van de beveiligingsfout in de National Vulnerability Database (NVD) van NIST zou de kwetsbaarheid bij het doorlopen van paden echter ook door een aanvaller kunnen worden misbruikt om “ongeautoriseerde code of opdrachten uit te voeren via speciaal vervaardigde webverzoeken”.
De fout is van invloed op de volgende versies van het product:
- FortiWLM versies 8.6.0 tot en met 8.6.5 (opgelost in 8.6.6 of hoger)
- FortiWLM versies 8.5.0 tot en met 8.5.4 (opgelost in 8.5.5 of hoger)
Het bedrijf heeft Horizon3.ai-beveiligingsonderzoeker Zach Hanley gecrediteerd voor het ontdekken en rapporteren van de tekortkoming. Het is de moeite waard hier te vermelden dat CVE-2023-34990 verwijst naar de “niet-geverifieerde kwetsbaarheid voor het lezen van beperkte bestanden” die het cyberbeveiligingsbedrijf in maart onthulde als onderdeel van een bredere reeks van zes fouten in FortiWLM.
“Deze kwetsbaarheid stelt externe, niet-geverifieerde aanvallers in staat toegang te krijgen tot en misbruik te maken van ingebouwde functionaliteit die bedoeld is om specifieke logbestanden op het systeem te lezen via een vervaardigd verzoek aan het /ems/cgi-bin/ezrf_lighttpd.cgi eindpunt”, zei Hanley destijds.
“Dit probleem is het gevolg van het gebrek aan invoervalidatie op verzoekparameters waardoor een aanvaller mappen kan doorkruisen en elk logbestand op het systeem kan lezen.”
Een succesvolle exploitatie van CVE-2023-34990 zou de bedreigingsacteur in staat kunnen stellen FortiWLM-logbestanden te lezen en de sessie-ID van een gebruiker en login te bemachtigen, waardoor hij ook geauthenticeerde eindpunten kan misbruiken.
Tot overmaat van ramp kunnen de aanvallers misbruik maken van het feit dat de websessie-ID’s statisch zijn tussen gebruikerssessies door, om deze te kapen en beheerdersrechten voor het apparaat te verkrijgen.
Dat is niet alles. Een aanvaller kan CVE-2023-34990 ook combineren met CVE-2023-48782 (CVSS-score: 8.8), een geverifieerde opdrachtinjectiefout die ook is opgelost in FortiWLM 8.6.6, om uitvoering van externe code in de context van root te verkrijgen.
Ook door Fortinet is een zeer ernstige kwetsbaarheid voor opdrachtinjectie van het besturingssysteem in FortiManager gepatcht, waardoor een geverifieerde aanvaller op afstand ongeautoriseerde code kan uitvoeren via door FGFM vervaardigde verzoeken.
De kwetsbaarheid (CVE-2024-48889, CVSS-score: 7.2) is verholpen in de onderstaande versies:
- FortiManager 7.6.0 (opgelost in 7.6.1 of hoger)
- FortiManager versies 7.4.0 tot en met 7.4.4 (opgelost in 7.4.5 of hoger)
- FortiManager Cloud versies 7.4.1 tot en met 7.4.4 (opgelost in 7.4.5 of hoger)
- FortiManager versies 7.2.3 tot en met 7.2.7 (opgelost in 7.2.8 of hoger)
- FortiManager Cloud versies 7.2.1 tot en met 7.2.7 (opgelost in 7.2.8 of hoger)
- FortiManager versies 7.0.5 tot en met 7.0.12 (opgelost in 7.0.13 of hoger)
- FortiManager Cloud versies 7.0.1 tot en met 7.0.12 (opgelost in 7.0.13 of hoger)
- FortiManager versies 6.4.10 tot en met 6.4.14 (opgelost in 6.4.15 of hoger)
Fortinet merkte ook op dat een aantal oudere modellen, 1000E, 1000F, 2000E, 3000E, 3000F, 3000G, 3500E, 3500F, 3500G, 3700F, 3700G en 3900E, getroffen zijn door CVE-2024-48889, op voorwaarde dat “fmg-status” is ingeschakeld.
Nu Fortinet-apparaten een aanvalsmagneet voor bedreigingsactoren worden, is het essentieel dat gebruikers hun instances up-to-date houden om zich te beschermen tegen potentiële bedreigingen.
