Af Eskil Sørensen, 08/01/21
Fortinet har i denne uge annonceret programrettelser til i alt fire sårbarheder, der påvirker dets FortiWeb-produkt. Det skriver Security Week. Ifølge en advisory, som FortiNet har offentliggjort, kan fejlene udnyttes til denial-of-service (DoS) angreb og til at afvikle uautoriseret kode eller kommandoer.
Sårbarhederne har fået numrene CVE-2020-29015, CVE-2020-29016, CVE-2020-29019 og CVE-2020-29018. Tre af fejlene (SQL-injektionsproblem og to bufferoverløb) kan udnyttes af en ekstern angriber uden godkendelse.
Sårbarhederne er blevet opdaget i FortiWeb-administrationsgrænsefladen.
Det fremgår af Security Week, at hvis der er adgang til adminpanelet uden for en virksomhed, kan angriberen udnytte sårbarhederne og videreudvikle angreb på virksomhedsnetværket.
Det anbefales, at de tilgængelige patches installeres. Security Week tilføjer til anbefalingen, at det bør ske hurtigst som muligt i betragtning af, at trusselaktører, herunder dem, der er tilknyttet nationalstater, har været kendt for at udnytte sårbarheder i Fortinet-produkter.
Links:
https://securityaffairs.co/wordpress/113129/hacking/fortinet-fortiweb-waf-flaws.html
https://www.securityweek.com/vulnerabilities-fortinet-waf-can-expose-corporate-networks-attacks