Parche ahora! Una vulnerabilidad crítica de día cero en FortiOS está siendo atacada

El fabricante advierte que una vulnerabilidad crítica en FortiOS de Fortinet ya está bajo ataque activo. Actualización disponible. Los administradores de TI deben descargarlo e instalarlo inmediatamente.

Vulnerabilidad de seguridad crítica

Menciona muchos detalles. Consultoría de seguridad de Fortinet no. En FortiOS SSL VPN, el desbordamiento de búfer basado en montón puede ocurrir cuando se procesan solicitudes cuidadosamente diseñadas. Como resultado, los atacantes de la red pueden ingresar y ejecutar código arbitrario sin iniciar sesión en el sistema (CVE-2022-42475, CVSS 9.3riesgo”crítico“).

Fortinet afirma que la empresa está al tanto de al menos una instancia de la vulnerabilidad que se está explotando en la naturaleza. Los administradores deben revisar sus dispositivos en busca de signos de un ataque (indicadores de una infracción), que también mencionaron los autores del informe.

señales de robo

Las entradas de registro proporcionan una indicación de que la vulnerabilidad ha sido atacada: “Logdesc="Application crashed" and msg="[...] application:sslvpnd,[...], Signal 11 received, Backtrace: [...]“”. Después de un ataque exitoso, los siguientes archivos pueden estar en el sistema de archivos:

data/lib/libips.bak
/data/lib/libgif.so
/data/lib/libiptcp.so
/data/lib/libipudp.so
/data/lib/libjepg.so
/var/.sslvpnconfigbk
/data/etc/wxd.conf
/flash

Además, según Fortinet, las conexiones IP a los siguientes hosts indican un hackeo exitoso:

188.34.130.40:444
103.131.189.143:30080,30081,30443,20443
192.36.119.61:8443,444
172.247.168.153:8033

Versiones afectadas

Fortinet cierra la vulnerabilidad con actualizaciones Actualización de FortiOS 7.23.0Y el 7.0.9Y el 6.4.11 Como 6.2.12 y versiones superiores. También hay actualizaciones para FortiOS 6K7K-versiones en 7.0.8Y el 6.4.10Y el 6.2.12 Y el 6.0.15 o mas nuevo.

La semana pasada, Fortinet cerró varios agujeros de seguridad en los productos de la empresa. El más grave involucró el registro de SSH y alcanzó una calificación de riesgo “alto”.

(DMK)