2021-2558: FortiGate, FortiOS: Mehrere Schwachstellen ermöglichen u. a. das Ausführen beliebigen Programmcodes

Historie:

Version 1 (2021-12-08 18:46)

Neues Advisory

Betroffene Software

Systemsoftware

Betroffene Plattformen

Hardware
FortiNet

Beschreibung:

Ein Angreifer kann mehrere Schwachstellen aus der Ferne ausnutzen, um beliebigen Programmcode auszuführen, Informationen auszuspähen und einen Cross-Site-Request-Forgery (CSRF)-Angriff durchzuführen. Eine weitere Schwachstelle ermöglicht es einem Angreifer im benachbarten Netzwerk ebenfalls, beliebigen Programmcode auszuführen. Der Angreifer kann letztlich mehrere Schwachstellen lokal ausnutzen, um Administratorrechte zu erlangen und beliebigen Programmcode auszuführen.

Für die Ausnutzung der Schwachstellen sind unterschiedliche Privilegien erforderlich. Zwei Schwachstellen erfordern die Interaktion eines Benutzers.

Der Hersteller stellt zur Behebung der Schwachstellen Sicherheitsupdates für FortiGate und FortiOS zur Verfügung. Zur Behebung der Schwachstellen, die speziell FortiGate betreffen, werden die Versionen 6.2.10, 6.4.7 und 7.0.2 bereitgestellt. Für Modelle der F-Serie (FG-1800F, FG-3800F, FG-4200F, FG-4400F) steht ein Sicherheitsupdate auf Version 6.2.9 zur Verfügung, zusätzlich werden FortiOS-6K7K 6.2.8 und 6.4.3 für FortiGate-Modelle der 6000er und 7000er Serie veröffentlicht. Für FortiOS selbst stehen Sicherheitsupdates auf die Versionen 6.0.14, 6.2.10, 6.4.8 und 7.0.3 bereit. Es sind nicht alle Versionszweige und Modelle von allen Schwachstellen gleichermaßen betroffen.

Des weiteren informiert der Hersteller darüber, dass die Schwachstelle CVE-2021-44168 bereits aktiv ausgenutzt wurde und gibt Hinweise zur Identifikation betroffener Systeme. Den Bewertungen mehrerer weiterer Schwachstellen ist zu entnehmen, dass für diese ebenfalls funktionierende Exploits zur Verfügung stehen. Fortinet macht dazu keine weiteren Angaben.

Schwachstellen:

CVE-2021-26103

Schwachstelle in FortiOS ermöglicht Cross-Site-Request-Forgery-Angriff

CVE-2021-26108

Schwachstelle in FortiOS ermöglicht Ausspähen von Informationen

CVE-2021-26109

Schwachstelle in FortiOS ermöglicht Ausführen beliebigen Programmcodes

CVE-2021-26110

Schwachstelle in FortiOS ermöglicht Erlangen von Administratorrechten

CVE-2021-36173

Schwachstelle in FortiOS ermöglicht Ausführen beliebigen Programmcodes

CVE-2021-41024

Schwachstelle in FortiOS ermöglicht Ausspähen von Informationen

CVE-2021-42757

Schwachstelle in FortiOS ermöglicht Ausführen beliebigen Programmcodes

CVE-2021-44168

Schwachstelle in FortiOS ermöglicht Ausführen beliebigen Programmcodes

© DFN-CERT Services GmbH, all rights reserved!
Bei einer Weitergabe der Informationen außerhalb dieser Webseite ist auf den Ursprung in angemessener Weise hinzuweisen.
Im Übrigen gelten die Bestimmungen zum Copyright für diese Webseite.