Fortinet dichtet Schwachstellen in Security-Lösungen und weiteren Produkten ab
Mehrere Produkte von Fortinet mit teils kritischen Sicherheitslücken ermöglichten Angreifern, etwa Schadcode einzuschleusen. Updates dichten die Lücken ab.
(Bild: Artur Szczybylo/Shutterstock.com)
Fortinet hat Sicherheitsmeldungen zu Schwachstellen in mehreren Produkten herausgegeben und stellt Aktualisierungen für betroffene Produkte bereit. Insbesondere geht es um FortiClient für Linux und Windows, FortiEDR, FortiWAN und FortiWLC. Eine Schwachstelle ist sogar kritisch und könnte unangemeldeten Angreifern aus dem Netz erlauben, Schadcode oder Befehle einzuschleusen und auszuführen.
Kritische Sicherheitslücke
Am schlimmsten trifft es die FortiWAN-Load Balancer. Aufgrund mangelhafter Neutralisierung spezieller Elemente in SQL-Befehlen könnten nicht angemeldete Angreifer mit präparierten HTTP-Anfragen eigenen Code oder Befehle einschleusen und ausführen lassen (CVE-2021-26114, CVSS 9.6, Risiko kritisch). In Netzwerk-Daemons und an der Kommandozeile (CLI) könnten Angreifer Stack-basierte Pufferüberlaufe auslösen und damit eigenen Code zur Ausfühfung bringen (CVE-2021-26112, CVSS 7.7, hoch).
Die FortiWAN-Web-GUI filtert Eingaben nicht korrekt, was angemeldeten Nutzern ermöglicht, mit manipulierten HTTP-Paketen beliebige Befehle in der darunterliegenden Shell auszuführen (CVE-2021-24009, CVSS 7.0, hoch). Weitere Fehler betreffen eine Stored Cross-Site-Scripting-Lücke im Log-Viewer (CVE-2021-32585, CVSS 6.8, mittel), Nutzung von kaputter oder gefährlicher Kryptografie im Dynamic Tunnel Protocol (CVE-2021-32593, CVSS 6.2, mittel) sowie die Nutzung eines hardkodierten Salts für Passwort-Hashes (CVE-2021-26113, CVSS 5.9, mittel).
In FortiEDR, einem Malwareschutz (Endpoint Detection and Response), könnten Angreifer sich als sogenannter Collector ausgeben und damit gefälschte Nachrichten versenden, da die Software hardkodierte kryptografische Schlüssel verwendete (CVE-2022-23441, CVSS 8.6, hoch). Ebenfalls aufgrund eines hartkodierten Schlüssels im Registrierungsmechanismus der Collectors hätten Angreifer diese außer Funktion setzen und deinstallieren können (CVE-2022-23440, CVSS 7.6, hoch). Zudem hätten Angreifer mit erhöhten Rechten am System durch Änderungen der Zugriffsrechte auf den Programm-Order von FortiEDR die Software lahmlegen können (CVE-2022-23446, CVSS 4.0, mittel).
Weitere Produkte betroffen
Der Online-Installer von FortiClient für Windows hat ein untaugliches Arbeitsverzeichnis verwendet, wodurch lokale Angreifer ihre Rechte am System hätten ausweiten können (CVE-2021-44169, CVSS 8.0, hoch). Auch im FortiClient für Linux könnten aufgrund fehlerhafter Zugriffsrechte auf Verzeichnisse Akteure mit niederen Absichten via Symlinks etwa an Informationen aus Log-Dateien gelangen (CVE-2021-44167, CVSS 6.1, mittel). Zudem könnten nicht authentifizierte Angreifer auf den confighandler-Webserver mittels externer Binärdateien zugreifen (CVE-2021-43205, CVSS 4.2, mittel).
Die letzte Schwachstelle betrifft FortiWLC, diese Controller optimieren den Datenverkehr von Fortinet-WLAN-Access-Points und -Clients. Ein lokaler, angemeldeter Nutzer könnte mit sorgsam präparierten Kommandozeilen-Befehlen aufgrund eines Zugriffs auf nicht initialisierte Zeiger den mit FortiWLC verwalteten Acess-Point abstürzen lassen (CVE-2021-26093, CVSS 6.6, mittel).
Die Sicherheitslücken beheben die Fortinet-Entwickler in den Versionen FortiClient 6.4.8 sowie 7.0.3 für Linux und Windows. FortiEDR 5.0.3 b0508 und neueren, FortiWAN 4.5.9 und FortiWLC 8.6.3 und neueren. In der Update-Übersicht verlinkt Fortinet die Sicherheitsmeldungen zu den einzelnen Lücken. Administratoren sollten zeitnah Wartungsfenster für die Installation der bereitgestellten Aktualisierungen einplanen, um die Angriffsfläche zu minimieren.
Update 07.04.2022 13:45 Uhr: In der Meldung korrigiert, dass Firewalls nicht betroffen sind. FortiWAN-Geräte sind Load Balancer.
(dmk)