Изследователи в областта на сигурността публикуваха доказателство за концептуален (PoC) експлойт за критична уязвимост в софтуера FortiClient Enterprise Management Server (EMS) на Fortinet, която вече активно се използва при атаки.

Проследен като CVE-2023-48788, този недостатък в сигурността представлява SQL инжекция в компонента DB2 Administration Server (DAS), открит и докладван от Националния център за киберсигурност (NCSC) на Обединеното кралство.

Той засяга версии 7.0 (7.0.1 до 7.0.10) и 7.2 (7.2.0 до 7.2.2) на FortiClient EMS и позволява на неавтентифицирани участници в заплахи да получат отдалечено изпълнение на код (RCE) с привилегии на SYSTEM на непоправени сървъри при атаки с ниска сложност, които не изискват взаимодействие с потребителя.

„Неправилното неутрализиране на специалните елементи, използвани в уязвимостта SQL Command („SQL Injection“) [CWE-89] във FortiClientEMS, може да позволи на неупълномощен нападател да изпълни неоторизиран код или команди чрез специално подготвени заявки“, обяснява Fortinet в консултация по сигурността, публикувана миналата седмица.

Въпреки че първоначално компанията не споменава, че CVE-2023-48788 се използва в атаките, оттогава тя тихомълком актуализира консултацията, за да каже, че „уязвимостта се използва в дивата природа“.

В четвъртък, една седмица след като Fortinet пусна актуализации на сигурността за отстраняване на пропуските в сигурността, изследователи по сигурността от екипа за атаки на Horizon3 публикуваха технически анализ и споделиха доказателство за концептуален (PoC) експлойт, който помага да се потвърди дали дадена система е уязвима, без да предоставя възможности за изпълнение на отдалечен код.

Тези, които искат да използват кода за експлойт на Horizon3 в RCE атаки, трябва да модифицират PoC, за да използват процедурата Microsoft SQL Server xp_cmdshell за създаване на команден шел на Windows за изпълнение на код.

„За да превърнем тази уязвимост в SQL инжектиране в отдалечено изпълнение на код, използвахме вградената функционалност xp_cmdshell на Microsoft SQL Server“, каза Джеймс Хорсман, изследовател на уязвимостите на Horizon3.

„Първоначално базата данни не беше конфигурирана да изпълнява командата xp_cmdshell, но тя беше тривиално активирана с няколко други SQL оператора.“

Понастоящем Shodan проследява над 440 сървъра FortiClient Enterprise Management Server (EMS), изложени на риск онлайн, докато услугата за наблюдение на заплахи Shadowserver е открила над 300, повечето от които в САЩ, но има и такива в Европа и дори България.

През февруари Fortinet закърпи друг критичен RCE бъг (CVE-2024-21762) в операционната система FortiOS и защитения уеб прокси сървър FortiProxy, като заяви, че той „потенциално се експлоатира в дивата природа“.

Още на следващия ден обаче CISA потвърди, че бъгът CVE-2024-21762 се експлоатира активно, и нареди на федералните агенции да защитят своите устройства FortiOS и FortiProxy в рамките на седем дни.

Заслужава да се отбележи също така, че уязвимостите в сигурността на Fortinet много често се използват за получаване на неоторизиран достъп до корпоративни мрежи за атаки с цел получаване на откуп и кампании за кибершпионаж, като често се използват експлойти от нулев ден.