Kritische Sicherheitslücke in FortiOS und FortiProxy - Updates verfügbar

08. März 2023

Beschreibung

In FortiOS, dem Betriebssystem vieler Produkte von Fortinet und in FortiProxy existiert eine kritische Sicherheitslücke.

CVE-Nummer(n): CVE-CVE-2023-25610

CVSS Base Score: 9.3

Auswirkungen

Die Schwachstelle ermöglicht es unauthentifizierten, entfernten Angreifern, durch speziell präparierte Anfragen, Code auf verwundbaren Geräten auszuführen. Eine von der Schwachstelle betroffene Version von FortiOS oder FortiProxy kann, je nach Produkt, verschiedene Arten von Angriffen ermöglichen. Fortinet listet lediglich die Produkte auf, die anfällig für DoS-Angriffe sind. Bei nicht aufgelisteten Produkten ist zusätzlich Remote Code Execution möglich.

Betroffene Systeme

FortiOS 7.2.0 through 7.2.3
FortiOS 7.0.0 through 7.0.9
FortiOS 6.4.0 through 6.4.11
FortiOS 6.2.0 through 6.2.12
FortiOS 6.0 alle Versionen
FortiProxy 7.2.0 through 7.2.2
FortiProxy 7.0.0 through 7.0.8
FortiProxy 2.0.0 through 2.0.11
FortiProxy 1.2 alle Versionen
FortiProxy 1.1 alle Versionen

Die oben genannten FortiOS-Versionen ermöglichen bei den folgenden Produkten "lediglich" einen DoS-Angriff. Produkte, die nicht in der Liste enthalten sind, sind zusätzlich verwundbar durch Remote Code Execution.

FortiGateRugged-100C
FortiGate-100D
FortiGate-200C
FortiGate-200D
FortiGate-300C
FortiGate-3600A
FortiGate-5001FA2
FortiGate-5002FB2
FortiGate-60D
FortiGate-620B
FortiGate-621B
FortiGate-60D-POE
FortiWiFi-60D
FortiWiFi-60D-POE
FortiGate-300C-Gen2
FortiGate-300C-DC-Gen2
FortiGate-300C-LENC-Gen2
FortiWiFi-60D-3G4G-VZW
FortiGate-60DH
FortiWiFi-60DH
FortiGateRugged-60
FortiGate-VM01-Hyper-V
FortiGate-VM01-KVM
FortiWiFi-60D-I
FortiGate-60D-Gen2
FortiWiFi-60D-J
FortiGate-60D-3G4G-VZW
FortiWifi-60D-Gen2
FortiWifi-60D-Gen2-J
FortiWiFi-60D-T
FortiGateRugged-90D
FortiWifi-60D-Gen2-U
FortiGate-50E
FortiWiFi-50E
FortiGate-51E
FortiWiFi-51E
FortiWiFi-50E-2R
FortiGate-52E
FortiGate-40F
FortiWiFi-40F
FortiGate-40F-3G4G
FortiWiFi-40F-3G4G
FortiGate-40F-3G4G-NA
FortiGate-40F-3G4G-EA
FortiGate-40F-3G4G-JP
FortiWiFi-40F-3G4G-NA
FortiWiFi-40F-3G4G-EA
FortiWiFi-40F-3G4G-JP
FortiGate-40F-Gen2
FortiWiFi-40F-Gen2

Abhilfe

Upgrade auf die folgenden Versionen:

FortiOS 7.4.0 oder neuer
FortiOS 7.2.4 oder neuer
FortiOS 7.0.10 oder neuer
FortiOS 6.4.12 oder neuer
FortiOS 6.2.13 oder neuer
FortiProxy 7.2.3 oder neuer
FortiProxy 7.0.9 oder neuer
FortiProxy 2.0.12 oder neuer
FortiOS-6K7K 7.0.10 oder neuer
FortiOS-6K7K 6.4.12 oder neuer
FortiOS-6K7K 6.2.13 oder neuer

Als Workaround kann auch das administrative HTTP/HTTPS Interface deaktiviert, oder der Zugriff auf das Interface auf bestimmte IP-Adressen limitiert werden.

Hinweis

Generell empfiehlt CERT.at, sämtliche Software aktuell zu halten und dabei insbesondere auf automatische Updates zu setzen. Regelmäßige Neustarts stellen sicher, dass diese auch zeitnah aktiviert werden.

Informationsquelle(n):

Artikel bei heise
https://www.heise.de/news/Patchday-Kritische-Luecke-in-FortiOS-und-FortiProxy-geschlossen-7538910.html

Advisory von Fortinet (englisch)
https://www.fortiguard.com/psirt/FG-IR-23-001