Kritične ranjivosti u FortiSIEM sigurnosnom alatu
U veljači 2024. godine, tvrtka Fortinet je izvršila ažuriranje upozorenja iz 2023. godine, dodajući dva kritična propusta na popis ranjivosti naredbi operativnog sustava (engl. OS Command vulnerability), koje zahvaćaju proizvod FortiSIEM. Ako se iskoriste, ove ranjivosti omogućuju udaljenom neautentificiranom napadaču izvršavanje naredbi na sustavu. Preporučuje se žurno ažuriranje ranjivih proizvoda.
Tehnički detalji ključnih ranjivosti otklonjenih ovim ažuriranjem:
Ranjivosti CVE-2024-23108 i CVE-2024-23109, obje s privremenim CVSS ocjenama 10 od 10, nastaju zbog nepropisne neutralizacije posebnih elemenata. Slanjem proizvoljno oblikovanog zahtjeva aplikacijskog programskog sučelja (engl. Application Programming Interface - API), udaljeni neautentificirani napadač može izvršiti naredbe na ranjivom sustavu.
Dana 10. listopada 2023. godine, tvrtka Fortinet je objavila početnu verziju sigurnosne obavijesti o sličnoj ranjivosti identificiranoj kao CVE-2023-34992 s CVSS ocjenom 9.7.
Zahvaćene verzije proizvoda:
- verzija 7.1.0 do 7.1.1 (ispravljeno u 7.1.2);
- verzija 7.0.0 do 7.0.2 (ispravljeno u 7.0.3);
- verzija 6.7.0 do 6.7.8 (ispravljeno u 6.7.9);
- verzija 6.6.0 do 6.6.3 (ispravljeno u 6.6.5);
- verzija 6.5.0 do 6.5.2 (ispravljeno u 6.5.3);
- verzija 6.4.0 do 6.4.2 (ispravljeno u 6.4.4).
Preporuke:
Preporučuje se žurno ažuriranje ranjivih verzija FortiSIEM sigurnosnog rješenja na najnoviju dostupnu ispravljenu verziju.
Više informacija moguće je pročitati na poveznicama u nastavku:
- https://www.fortiguard.com/psirt/FG-IR-23-130
- https://www.bleepingcomputer.com/news/security/fortinet-snafu-critical-fortisiem-cves-are-duplicates-issued-in-error/
[inicijalna objava: 7.2.2024 - 15:52]
Normativni akti
- Ustav Republike Hrvatske
- Strategija nacionalne sigurnosti
- Zakon o sustavu domovinske sigurnosti
- Zakon o sigurnosno-obavještajnom sustavu RH
- Zakon o tajnosti podataka
- Zakon o informacijskoj sigurnosti
- Uredba o mjerama informacijske sigurnosti
- Nacionalna strategija kibernetičke sigurnosti i Akcijski plan za provedbu Nacionalne strategije kibernetičke sigurnosti
- Zakon o kibernetičkoj sigurnosti operatora ključnih usluga i davatelja digitalnih usluga
- Uredba o kibernetičkoj sigurnosti operatora ključnih usluga i davatelja digitalnih usluga
- Smjernice za postupanje s neklasificiranim podacima
- Pravilnik o standardima sigurnosti neklasificiranih informacijskih sustava