2024-0337: FortiOS, FortiSwitchManager: Mehrere Schwachstellen ermöglichen u. a. das Ausführen beliebigen Programmcodes

Historie:

Version 1 (2024-02-09 16:20)

Neues Advisory

Version 2 (2024-02-12 09:30)

Der Hersteller hat den Sicherheitshinweis um die Information aktualisiert, dass FortiSwitchManager in den Versionszweigen 7.0 und 7.2 ebenfalls von der Schwachstelle CVE-2024-23113 betroffen ist. Es werden die Versionen 7.0.4 und 7.2.4 als Sicherheitsupdates bereitgestellt, um die Schwachstelle zu beheben.

Version 3 (2024-02-26 08:43)

Der Hersteller hat das FortiGuard Labs PSIRT Advisory FG-IR-24-015 aktualisiert. Für FortiOS 6.0 steht nun ebenfalls ein Sicherheitsupdate bereit, um die Schwachstelle CVE-2024-21762 zu beheben.

Version 4 (2024-10-10 11:20)

Die CYBERSECURITY & INFRASTRUCTURE SECURITY AGENCY (CISA) hat die Schwachstelle CVE-2024-23113 in ihren 'Known Exploited Vulnerabilities Catalog' aufgenommen.

Betroffene Software

Netzwerk
Systemsoftware

Betroffene Plattformen

FortiNet

Beschreibung:

Ein Angreifer kann mehrere Schwachstellen aus der Ferne ausnutzen, um Sicherheitsvorkehrungen zu umgehen, beliebigen Programmcode auszuführen und einen Denial-of-Service (DoS)-Angriff durchzuführen.

Für die Ausnutzung der Schwachstellen sind keine Privilegien erforderlich.

Die Schwachstelle CVE-2024-21762 wird nach Herstellerangabe vermutlich bereits ausgenutzt.

Für FortiOS 6.2, 6.4, 7.0, 7.2 und 7.4 wurden Sicherheitsupdates veröffentlicht, um die Schwachstellen zu schließen. Dabei wurden die Schwachstellen CVE-2024-44487 und CVE-2024-47537 bereits in FortiOS 7.4.2 geschlossen. Für die Schwachstelle CVE-2024-21762 gibt es kein Sicherheitsupdate für den Versionszweig 6.0, so dass ein Update der höheren Versionszweige notwendig ist.

Schwachstellen:

CVE-2023-44487

Schwachstelle in IETF HTTP/2-Implementierung ermöglicht Denial-of-Service-Angriff

CVE-2023-47537

Schwachstelle in FortiOS ermöglicht Umgehen von Sicherheitsvorkehrungen

CVE-2024-21762

Schwachstelle in FortiOS ermöglicht Ausführen beliebigen Programmcodes

CVE-2024-23113

Schwachstelle in FortiOS und FortiSwitchManager ermöglicht Ausführen beliebigen Programmcodes

© DFN-CERT Services GmbH, all rights reserved!
Bei einer Weitergabe der Informationen außerhalb dieser Webseite ist auf den Ursprung in angemessener Weise hinzuweisen.
Im Übrigen gelten die Bestimmungen zum Copyright für diese Webseite.