Kritične ranjivosti u FortiSIEM sigurnosnom alatu
U veljači 2024. godine, tvrtka Fortinet je izvršila ažuriranje upozorenja iz 2023. godine, dodajući dva kritična propusta na popis ranjivosti naredbi operativnog sustava (engl. OS Command vulnerability), koje zahvaćaju proizvod FortiSIEM. Ako se iskoriste, ove ranjivosti omogućuju udaljenom neautentificiranom napadaču izvršavanje naredbi na sustavu. Preporučuje se žurno ažuriranje ranjivih proizvoda.
Tehnički detalji ključnih ranjivosti otklonjenih ovim ažuriranjem:
Ranjivosti CVE-2024-23108 i CVE-2024-23109, obje s privremenim CVSS ocjenama 10 od 10, nastaju zbog nepropisne neutralizacije posebnih elemenata. Slanjem proizvoljno oblikovanog zahtjeva aplikacijskog programskog sučelja (engl. Application Programming Interface - API), udaljeni neautentificirani napadač može izvršiti naredbe na ranjivom sustavu.
Dana 10. listopada 2023. godine, tvrtka Fortinet je objavila početnu verziju sigurnosne obavijesti o sličnoj ranjivosti identificiranoj kao CVE-2023-34992 s CVSS ocjenom 9.7.
Zahvaćene verzije proizvoda:
- verzija 7.1.0 do 7.1.1 (ispravljeno u 7.1.2);
- verzija 7.0.0 do 7.0.2 (ispravljeno u 7.0.3);
- verzija 6.7.0 do 6.7.8 (ispravljeno u 6.7.9);
- verzija 6.6.0 do 6.6.3 (ispravljeno u 6.6.5);
- verzija 6.5.0 do 6.5.2 (ispravljeno u 6.5.3);
- verzija 6.4.0 do 6.4.2 (ispravljeno u 6.4.4).
Preporuke:
Preporučuje se žurno ažuriranje ranjivih verzija FortiSIEM sigurnosnog rješenja na najnoviju dostupnu ispravljenu verziju.
Više informacija moguće je pročitati na poveznicama u nastavku:
- https://www.fortiguard.com/psirt/FG-IR-23-130
- https://www.bleepingcomputer.com/news/security/fortinet-snafu-critical-fortisiem-cves-are-duplicates-issued-in-error/
[inicijalna objava: 7.2.2024 - 15:52]
Normativni akti
- Ustav Republike Hrvatske
- Strategija nacionalne sigurnosti
- Zakon o sustavu domovinske sigurnosti
- Zakon o sigurnosno-obavještajnom sustavu RH
- Zakon o tajnosti podataka
- Zakon o informacijskoj sigurnosti
- Uredba o mjerama informacijske sigurnosti
- Nacionalna strategija kibernetičke sigurnosti i Akcijski plan za provedbu Nacionalne strategije kibernetičke sigurnosti
- Zakon o provedbi Uredbe (EU) 2019/881 Europskog parlamenta i Vijeća od 17. travnja 2019. (Zakon o provedbi kibernetičke sigurnosne certifikacije)
- Zakon o kibernetičkoj sigurnosti
- Odluka o provedbi Odluke br. 1104/2011/EU Europskog parlamenta i Vijeća od 25. listopada 2011. o pravilima za pristup javno reguliranoj usluzi koju pruža globalni navigacijski satelitski sustav uspostavljen u sklopu programa Galileo
- Smjernice za postupanje s neklasificiranim podacima