Във вторник Fortinet обяви кръпки за 10 уязвимости в своите продукти, включително грешка с критична важност във FortiSwitch.
Проследен като CVE-2024-48887 (CVSS оценка 9,3), проблемът във FortiSwitch може да позволи на нападател да променя административни пароли, предупреждава компанията.
„Непроверена уязвимост при промяна на паролата в графичния потребителски интерфейс на FortiSwitch може да позволи на отдалечен неавтентифициран нападател да модифицира администраторски пароли чрез специално създадена заявка“, се казва в съобщението на Fortinet.
Деактивирането на HTTP/HTTPS достъпа от административните интерфейси и ограничаването на хостовете, които могат да се свързват със системата, би трябвало да намалят недостатъка, казва компанията.
Грешката засяга версиите на FortiSwitch от 6.4 до 7.6 и е отстранена с пускането на версиите на FortiSwitch 6.4.15, 7.0.11, 7.2.9, 7.4.5 и 7.6.1.
Бяха издадени и кръпки за CVE-2024-26013 и CVE-2024-50565, две уязвимости с висока степен на опасност, които биха могли да позволят на неавтентифицирани атакуващи да извършват атаки тип „човек в средата“ (MitM), да прихващат FGFM заявки за удостоверяване между устройствата за управление и управляваните устройства и да се представят за устройство за управление (FortiCloud сървър или FortiManager).
Дефектите в сигурността, описани като грешки от типа „неправилно ограничаване на комуникационния канал до предвидените крайни точки“, засягат FortiOS, FortiProxy, FortiManager, FortiAnalyzer, FortiVoice и FortiWeb.
Във вторник Fortinet обяви и поправки за CVE-2024-54024, високосериозен дефект в инжектирането на команди в операционната система във FortiIsolator, който може да позволи на автентициран нападател със суперадминистраторски привилегии и достъп до CLI да изпълни произволен код чрез изработени HTTP заявки.
Компанията също така пусна кръпки за четири проблема със средна степен на опасност, включително грешка при инжектиране на команди на операционната система във FortiIsolator, грешка при замърсяване на дневника във FortiManager и FortiAnalyzer, дефект при неправилно управление на потребителите в таблото за управление на уиджети FortiWeb и обхождане на пътища във FortiWeb.
Беше отстранен и бъг с недостатъчно защитени пълномощия във FortiOS, както и проблем с неправилно неутрализиране на входни данни по време на генериране на уебстраници във FortiClient – и двата с ниска степен на опасност.
Fortinet не споменава, че някоя от тези уязвимости е използвана, но на потребителите се препоръчва да актуализират своите устройства възможно най-скоро, тъй като не е необичайно заплахи да използват недостатъци в продуктите на Fortinet. Допълнителна информация може да бъде намерена на страницата със съвети на PSIRT на компанията.
АБОНИРАЙТЕ СЕ ЗА НАШИЯ Е-БЮЛЕТИН И ПОЛУЧАВАЙТЕ НОВИНИ И СЪВЕТИ НА ТЕМА КИБЕРСИГУРНОСТ.
© 2022 Фондация “Киберсигурност за Всеки” с ЕИК 206932045. Всички права запазени. Политики за поверителност.
ж.к. Гео Милев бл. 117, вх.А
София 1113, България
support[@]e-security.bg
Фондация “Киберсигурност за Всеки” с ЕИК 206932045 е ЮЛНЦ в обществена полза, регистрирано в ЕС, работещо в съответствие с мисията и целите си.
Моля, имайте предвид, че всички споменати продукти и/или имена на компании са търговски марки ™ или ® на съответните им притежатели. Уебсайтът/фондацията няма никаква свързаност и/или одобрение за/от тях – тези търговски марки се използват само за образователни цели като примери. Настоящият уебсайт е онлайн информационна платформа, управлявана от доброволна фондация в обществена полза. Благодарим ви, че сте тук и за всякакви допълнителни въпроси, не се колебайте да се свържете с нас.
Мисията на Фондация “Киберсигурност за Всеки” е да допринесе за подобряване на киберсигурността, информационна сигурност и защита на системите и да повиши културата на обществото и организациите по тези и свързани с тях теми. Ние насърчаване безопасността и поверителността на потребителите, като повишаваме осведомеността, информираме за най-добрите и нови практики и помагаме на хора и организации да преодолеят съвременните предизвикателства за сигурността на мрежата и опазването на техните дигиталните активи.
На посоченият от Вас e-mail е изпратено съобщение за потвърждаване на абонамента.
Моля, проверете електронната си поща за да потвърдите.
