ה-SSL-VPN של FortiOS הוא השער שדרכו עובדים מרחוק מתחברים לרשת הארגון, ולכן הוא חשוף לאינטרנט לפי הגדרה. חולשה בגרסאות שלא עודכנו מאפשרת לתוקף שלא הזדהה כלל לשלוח בקשות בנויות במיוחד, לפגוע בזיכרון של המכשיר ולהריץ עליו קוד. פורטינט דיווחה על ניצול בפועל, והחולשה נכנסה לקטלוג החולשות המנוצלות של CISA כבר בדצמבר 2022.
מה החולשה?
מדובר בגלישת זיכרון מסוג heap overflow, מצב שבו רכיב מקבל יותר נתונים ממה שהוקצה לו באזור זיכרון דינמי וכותב אל מעבר לגבול. תוקף שמנסח בקשה מתאימה לרכיב ה-SSL-VPN יכול לנצל את הכתיבה החורגת כדי להשתלט על מהלך הריצה ולהריץ קוד משלו על המכשיר.
מה שהופך את זה לחמור במיוחד הוא שילוב של שני דברים: השירות פונה כלפי האינטרנט, והחולשה אינה דורשת שם משתמש או סיסמה. תוקף מכל מקום ברשת יכול לנסות אותה מול כל חומת אש חשופה.
מי מושפע?
החולשה נוגעת ל-FortiOS ולמוצר FortiProxy במגוון גרסאות שלא עודכנו. ענפי התיקון הם 7.2.3, 7.0.9, 6.4.11, 6.2.12 ו-6.0.16, וגרסאות 5.x כבר הגיעו לסוף חיים. אלה מוצרי ארגון ולא תוכנה ביתית, אבל חומות האש של פורטינט נפוצות מאוד בארגונים בישראל, וכל התקן כזה עם SSL-VPN פתוח לאינטרנט הוא יעד ישיר.
האם מנוצלת בפועל?
כן. החולשה נמצאת בקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, רשימת החולשות שידוע שתוקפים מנצלים בשטח, מאז 13 בדצמבר 2022. פורטינט עצמה תיארה ניצול ממוקד סמוך לפרסום. גם שנים אחרי הפרסום, התקנים שלא עודכנו נותרים יעד, כי גישה ראשונית דרך שער VPN היא נכס יקר ערך לתוקפים.
מה עושים?
עדכנו את FortiOS לענף מתוקן: 7.2.3, 7.0.9, 6.4.11, 6.2.12 או 6.0.16 ומעלה, בהתאם לגרסה שאתם מריצים. משתמשי FortiProxy יעברו לגרסה המתוקנת המקבילה. אם השדרוג אינו יכול לקרות מיד, צמצום החשיפה של שירות ה-SSL-VPN מפחית את הסיכון עד לתיקון. ומכיוון שהחולשה כבר נוצלה בשטח, אל תסתפקו בשדרוג: עברו על הלוגים ועל החיבורים, ופעלו לפי הנחיות היצרן שבקישור שבמידע הטכני לזיהוי התקן שאולי כבר נפגע.