BDU:2023-01102

Опубликовано: 2023-03-06

Описание

Уязвимость веб-интерфейса операционных систем FortiOS, локальной платформы управления программными продуктами FortiSwitch Manager и прокси-сервера для защиты от интернет-атак FortiProxy связана с ошибками в обработке относительного пути к каталогу. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, читать и записывать файлы в базовой Linux-системе с помощью специально сформированных HTTP, HTTPS или CLI-запросов

Затрагиваемое ПО и версии

FortiProxy (от 1.2.0 до 1.2.13 включительно)FortiProxy (от 1.1.0 до 1.1.6 включительно)FortiProxy (7.2.0)FortiOS (7.2.0)FortiProxy (7.2.1)FortiProxy (от 7.0.0 до 7.0.7 включительно)FortiProxy (от 2.0.0 до 2.0.10 включительно)FortiSwitch Manager (7.0.0)FortiSwitch Manager (7.2.0)FortiOS (от 6.2.0 до 6.2.12 включительно)FortiOS (от 6.4.0 до 6.4.10 включительно)FortiOS (от 7.0.0 до 7.0.8 включительно)FortiOS (7.2.1)FortiOS (7.2.2)

Способ устранения

Установка обновлений из доверенных источников.
В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:
- использование локальной политики для ограничения доступа к веб-интерфейсу управления;
- отключения возможности доступа к веб-интерфейсу управления из общедоступных сетей (Интернет);
- ограничение возможности подключения к веб-интерфейсу только доверенными хостами;
- отключение неиспользуемых учетных записей.

Использование рекомендаций производителя:
https://www.fortiguard.com/psirt/FG-IR-22-391

Оценка CVSS

Балл	9 — высокая опасность

Источники и патчи

https://www.fortiguard.com/psirt/FG-IR-22-391

Проверьте безопасность своего сайта и почты → Полная проверка домена