Alert GCSA-23086 - (FG-IR-23-183) Vulnerabilita' critica in FortiOS e FortiProxy di FortiGate
******************************************************************
alert ID: GCSA-23086
data: 13 luglio 2023
titolo: (FG-IR-23-183) Vulnerabilita' critica in FortiOS e FortiProxy di FortiGate
******************************************************************
:: Descrizione del problema
Fortinet ha rilasciato degli aggiornamenti per risolvere alcuni bug di sicurezza,
tra cui una vulnerabilita' critica che interessa FortiOS e FortiProxy
CVE-2023-33308, CVSSv3 Score 9.8
FortiOS/FortiProxy - Proxy mode with deep inspection - Stack-based buffer overflow
https://www.fortiguard.com/psirt/FG-IR-23-183
tale difetto puo' consentire ad un aggressore remoto non autenticato
di eseguire codice o comandi arbitrari, tramite richieste artefatte.
Maggiori informazioni sono disponibili alla sezione "Riferimenti".
Da un recente report risulta che anche dopo un mese dalla pubblicazione della patch,
relativa a una vulnerabilita' grave su prodotti FortiGate, oltre 350.000 firewalls
risultavano ancora vulnerabili.
Gli amministratori dei prodotti che eseguono FortiOS sono sollecitati
a verificare che la versione del software in uso sia una versione sicura.
:: Software interessato
Per la CVE-2023-33308
FortiOS dalla versione 7.2.0 alla 7.2.3
FortiOS dalla versione 7.0.0 alla 7.0.10
FortiProxy dalla versione 7.2.0 alla 7.2.2
FortiProxy dalla versione 7.0.0 alla 7.0.9
Fortinet ha chiarito che per FortiOS versione 7.4 il problema e' stato risolto
in una release precedente, senza la pubblicazione di un avviso corrispondente,
quindi non vi e' alcun impatto per i prodotti sul branch di rilascio piu' recente.
Per la CVE-2023-28001
FortiOS dalla versione 7.2.0 alla 7.2.4
FortiOS 7.0 tutte le versioni
Prodotti NON interessati
FortiOS 6.4 tutte le versioni
FortiOS 6.2 tutte le versioni
FortiOS 6.0 tutte le versioni
FortiProxy 2.x tutte le versioni
FortiProxy 1.x tutte le versioni
:: Impatto
Esecuzione remota di comandi o codice arbitrario (RCE)
Bypass delle funzionalita' di sicurezza (SFB)
Rivelazione di informazioni (ID)
:: Soluzioni
Aggiornare alle seguenti versioni
FortiOS versione 7.4.0 o successive
FortiOS versione 7.2.4 o successive
FortiOS versione 7.0.11 o successive
FortiProxy versione 7.2.3 o successive
FortiProxy versione 7.0.10 o successive
Se non e' possibile installare immediatamente il nuovo firmware,
come soluzione alternativa, Fortinet suggerisce di disabilitare
il supporto HTTP/2 sugli SSL inspection profiles utilizzati dalle
proxy policies o dalle firewall policies nella modalita' proxy.
:: Riferimenti
FortiGuard Labs - PSIRT Advisories
https://www.fortiguard.com/psirt/FG-IR-23-183
https://www.fortiguard.com/psirt/FG-IR-23-028
https://www.fortiguard.com/psirt/FG-IR-23-015
BleepingComputer.com
https://www.bleepingcomputer.com/news/security/fortinet-warns-of-critical-rce-flaw-in-fortios-fortiproxy-devices/
CSIRT Italia
https://www.csirt.gov.it/contenuti/rilevate-vulnerabilita-in-prodotti-fortinet-al07-230712-csirt-ita
Mitre CVE
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-33308
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-28001
GARR CERT Security Alert - subscribe/unsubscribe:
http://www.cert.garr.it/alert/ricevi-gli-alert-di-cert
-----BEGIN PGP SIGNATURE-----
iGsEAREIACsWIQTGpdiR5MqstacBGHbBnEyTZRJgQgUCZK/HSQ0cY2VydEBnYXJy
Lml0AAoJEMGcTJNlEmBCp84AnApqa7+4xBYHOqHvD9+VwS9ApgHeAKC/8gt++pIu
unvWxBzmlMml93yikw==
=yRkg
-----END PGP SIGNATURE-----
alert ID: GCSA-23086
data: 13 luglio 2023
titolo: (FG-IR-23-183) Vulnerabilita' critica in FortiOS e FortiProxy di FortiGate
******************************************************************
:: Descrizione del problema
Fortinet ha rilasciato degli aggiornamenti per risolvere alcuni bug di sicurezza,
tra cui una vulnerabilita' critica che interessa FortiOS e FortiProxy
CVE-2023-33308, CVSSv3 Score 9.8
FortiOS/FortiProxy - Proxy mode with deep inspection - Stack-based buffer overflow
https://www.fortiguard.com/psirt/FG-IR-23-183
tale difetto puo' consentire ad un aggressore remoto non autenticato
di eseguire codice o comandi arbitrari, tramite richieste artefatte.
Maggiori informazioni sono disponibili alla sezione "Riferimenti".
Da un recente report risulta che anche dopo un mese dalla pubblicazione della patch,
relativa a una vulnerabilita' grave su prodotti FortiGate, oltre 350.000 firewalls
risultavano ancora vulnerabili.
Gli amministratori dei prodotti che eseguono FortiOS sono sollecitati
a verificare che la versione del software in uso sia una versione sicura.
:: Software interessato
Per la CVE-2023-33308
FortiOS dalla versione 7.2.0 alla 7.2.3
FortiOS dalla versione 7.0.0 alla 7.0.10
FortiProxy dalla versione 7.2.0 alla 7.2.2
FortiProxy dalla versione 7.0.0 alla 7.0.9
Fortinet ha chiarito che per FortiOS versione 7.4 il problema e' stato risolto
in una release precedente, senza la pubblicazione di un avviso corrispondente,
quindi non vi e' alcun impatto per i prodotti sul branch di rilascio piu' recente.
Per la CVE-2023-28001
FortiOS dalla versione 7.2.0 alla 7.2.4
FortiOS 7.0 tutte le versioni
Prodotti NON interessati
FortiOS 6.4 tutte le versioni
FortiOS 6.2 tutte le versioni
FortiOS 6.0 tutte le versioni
FortiProxy 2.x tutte le versioni
FortiProxy 1.x tutte le versioni
:: Impatto
Esecuzione remota di comandi o codice arbitrario (RCE)
Bypass delle funzionalita' di sicurezza (SFB)
Rivelazione di informazioni (ID)
:: Soluzioni
Aggiornare alle seguenti versioni
FortiOS versione 7.4.0 o successive
FortiOS versione 7.2.4 o successive
FortiOS versione 7.0.11 o successive
FortiProxy versione 7.2.3 o successive
FortiProxy versione 7.0.10 o successive
Se non e' possibile installare immediatamente il nuovo firmware,
come soluzione alternativa, Fortinet suggerisce di disabilitare
il supporto HTTP/2 sugli SSL inspection profiles utilizzati dalle
proxy policies o dalle firewall policies nella modalita' proxy.
:: Riferimenti
FortiGuard Labs - PSIRT Advisories
https://www.fortiguard.com/psirt/FG-IR-23-183
https://www.fortiguard.com/psirt/FG-IR-23-028
https://www.fortiguard.com/psirt/FG-IR-23-015
BleepingComputer.com
https://www.bleepingcomputer.com/news/security/fortinet-warns-of-critical-rce-flaw-in-fortios-fortiproxy-devices/
CSIRT Italia
https://www.csirt.gov.it/contenuti/rilevate-vulnerabilita-in-prodotti-fortinet-al07-230712-csirt-ita
Mitre CVE
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-33308
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-28001
GARR CERT Security Alert - subscribe/unsubscribe:
http://www.cert.garr.it/alert/ricevi-gli-alert-di-cert
-----BEGIN PGP SIGNATURE-----
iGsEAREIACsWIQTGpdiR5MqstacBGHbBnEyTZRJgQgUCZK/HSQ0cY2VydEBnYXJy
Lml0AAoJEMGcTJNlEmBCp84AnApqa7+4xBYHOqHvD9+VwS9ApgHeAKC/8gt++pIu
unvWxBzmlMml93yikw==
=yRkg
-----END PGP SIGNATURE-----