A Fortinet arra figyelmeztet, hogy a FortiOS SSL VPN-ben egy új kritikus távoli kódfuttatási sebezhetőséget találtak, amit támadások során kiberfenyegető szereplők ki is használnak.
A hiba (CVE-2024-21762 / FG-IR-24-015) 9.6-os súlyosságú besorolást kapott, és egy olyan out-of-bounds write sebezhetőség a FortiOS-ben, amely lehetővé teszi a hitelesítés nélküli támadók számára, hogy rosszindulatú kéréseken keresztül távoli kódfuttatást (RCE) érjenek el. A most nyilvánosságra hozott CVE-2024-21762 hiba kritikus súlyossága és a támadásokban való kihasználásának valószínűsége miatt erősen ajánlott, a lehető leghamarabbi frissítés.
A hiba javításához a Fortinet a legújabb verzióra frissítést javasolja. Azonban azok számára, akik nem tudják alkalmazni a javításokat, az SSL VPN letiltásával enyhíthetik a hibát a FortiOS eszközökön.
| Verzió | Érintett: | Megoldás: |
| FortiOS 7.6 | Nem érintett | Nem alkalmazandó |
| FortiOS 7.4 | 7.4.0 – 7.4.2 | Frissítés a 7.4.3-ra vagy magasabb verzióra |
| FortiOS 7.2 | 7.2.0 – 7.2.6 | Frissítés a 7.2.7 vagy magasabb verzióra |
| FortiOS 7.0 | 7.0.0 – 7.0.13 | Frissítés a 7.0.14 vagy magasabb verzióra |
| FortiOS 6.4 | 6.4.0 – 6.4.14 | Frissítés a 6.4.15 vagy újabb verzióra |
| FortiOS 6.2 | 6.2.0 – 6.2.15 | Frissítés a 6.2.16 vagy újabb verzióra |
| FortiOS 6.0 | 6.0 minden verzió | Áttérés egy fix verzióra |
A Fortinet nem közölt részleteket arról, hogy a sebezhetőséget hogyan használják ki, vagy hogy ki fedezte fel az.
Ezt a hibát a CVE-2024-23113 / FG-IR-24-029 (9.8, kritikus), a CVE-2023-44487 / FG-IR-23-397 (7.5, magas) és a CVE-2023-47537 / FG-IR-23-301 (4.8, közepes) hibákkal együtt hozták ma nyilvánosságra. Ezek azonban nincsenek megjelölve, mint aktívan kihasználhatóak.
Tegnap a Fortinet nyilvánosságra hozta, hogy a Volt Typhoon néven ismert, kínai államilag támogatott csoport a FortiOS sebezhetőségeit kihasználva telepíti a COATHANGER nevű egyedi káros szoftvert. Ez egy egyéni távoli hozzáférési trójai (RAT), amelyet a Fortigate hálózatbiztonsági készülékek megfertőzésére terveztek, és amelyet nemrégiben a holland védelmi minisztérium elleni támadásokban használtak.
