2025-0087: FortiOS: Mehrere Schwachstellen ermöglichen u. a. das Ausführen unautorisierten Programmcodes
Historie:
- Version 1 (2025-01-15 11:02)
- Neues Advisory
- Version 2 (2025-01-15 15:24)
- Fortinet hat zwei weitere Sicherheitshinweise veröffentlicht. Die Schwachstellen CVE-2024-46669 und CVE-2024-46670 ermöglichen einem Angreifer aus der Ferne und dem benachbarten Netzwerk Denial-of-Service (DoS)-Angriffe durchzuführen. Es stehen Sicherheitsupdates bereit, um die Schwachstellen zu beheben.
- Version 3 (2025-01-16 12:21)
- Am Fortinet-Patchday wurden weitere Schwachstellen behoben, die das Darstellen falscher Informationen, Denial-of-Service (DoS)-Angriffe, die Manipulation von Dateien sowie das Ausführen beliebigen Programmcodes ermöglichen.
- Version 4 (2025-02-14 15:31)
- Fortinet reicht Informationen zu einer zusätzlichen Schwachstelle im Kontext von FG-IR-24-535 nach, die das Erlangen von Super-Admin-Rechten in FortiOS ermöglicht. Diese Schwachstelle wird bereits aktiv ausgenutzt.
- Version 5 (2025-03-17 08:24)
- FortiGuard Labs PSIRT hat das Advisory FG-IR-24-373 aktualisiert und einen Workaround zur Mitigation der Schwachstelle CVE-2024-52963 ergänzt, welche im Übrigen mit den FortiOS Versionen 7.6.1, 7.4.8 und 7.2.11 behoben wird.
- Version 6 (2025-03-20 08:17)
- Die CYBERSECURITY & INFRASTRUCTURE SECURITY AGENCY (CISA) hat die Schwachstelle CVE-2025-24472 in ihren 'Known Exploited Vulnerabilities Catalog' aufgenommen.
- Version 7 (2025-04-25 13:21)
- FortiGuard Labs PSIRT hat das Advisory FG-IR-24-267 aktualisiert und einen Workaround zur Mitigation der Schwachstelle CVE-2024-46669 ergänzt,
Betroffene Software
Systemsoftware
Betroffene Plattformen
FortiNet
Beschreibung:
Ein Angreifer kann mehrere Schwachstellen aus der Ferne ausnutzen, um Informationen auszuspähen, Sicherheitsvorkehrungen zu umgehen und unautorisierten Programmcode oder Befehle auszuführen.
Für die Ausnutzung der Schwachstellen sind unterschiedliche Privilegien erforderlich. Die erfolgreiche Ausnutzung einer Schwachstelle kann Einfluss auf andere Komponenten haben.
Die Schwachstellen bestehen in verschiedenen Versionszweigen und werden mittels der verfügbaren Sicherheitsupdates behoben.
Die vom Hersteller als kritisch bewertete Schwachstelle CVE-2024-55591 besteht in den FortiOS Versionen 7.0.0 bis einschließlich 7.0.16 und wird bereits seit längerem aktiv ausgenutzt. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat am 14.01.25 einen Sicherheitshinweis (CSW-2025-213432) herausgegeben, der Details zur Ausnutzung und Möglichkeiten zur Prüfung einer Kompromittierung umfasst. Der Sicherheitshinweis des BSI beinhaltet zusätzlich Informationen zu den (hier nicht unterstützten) betroffenen FortiProxy Versionen.
Schwachstellen:
CVE-2022-23439
Schwachstelle in FortiOS ermöglicht Darstellen falscher InformationenCVE-2023-42785 CVE-2023-42786
Schwachstellen in FortiOS ermöglichen Denial-of-Service-AngriffeCVE-2023-46715
Schwachstelle in FortiOS ermöglicht Umgehen von SicherheitsvorkehrungenCVE-2024-36504
Schwachstelle in FortiOS ermöglicht Denial-of-Service-AngriffCVE-2024-46665
Schwachstelle in FortiOS ermöglicht Ausspähen von InformationenCVE-2024-46666
Schwachstelle in FortiOS ermöglicht Denial-of-Service-AngriffCVE-2024-46668
Schwachstelle in FortiOS ermöglicht Denial-of-Service-AngriffCVE-2024-46669
Schwachstelle in FortiOS ermöglicht Denial-of-Service-AngriffCVE-2024-46670
Schwachstelle in FortiOS ermöglicht Denial-of-Service-AngriffCVE-2024-48884 CVE-2024-48885
Schwachstellen in FortiOS und FortiManager ermöglichen Manipulation von DateienCVE-2024-48886 CVE-2024-50563
Schwachstellen in FortiAnalyzer, FortiManager und FortiOS ermöglichen Ausführen beliebigen ProgrammcodesCVE-2024-52963
Schwachstelle in FortiOS ermöglicht Denial-of-Service-AngriffCVE-2024-54021
Schwachstelle in FortiOS ermöglicht Ausführen unautorisierten Programmcodes oder KommandosCVE-2024-55591
Schwachstelle in FortiOS ermöglicht Ausführen unautorisierten Programmcodes oder KommandosCVE-2025-24472
Schwachstelle in FortiOS ermöglicht Erlangen von Administratorrechten
© DFN-CERT Services GmbH, all rights reserved!
Bei einer Weitergabe der Informationen außerhalb dieser Webseite ist
auf den Ursprung in angemessener Weise hinzuweisen.
Im Übrigen gelten die Bestimmungen zum Copyright für diese
Webseite.