Fortinet waarschuwt voor zeroday waarmee SQL-injectie op FortiClient mogelijk is

Fortinet heeft een patch uitgebracht voor diverse kwetsbaarheden in uiteenlopende software. Een van de bugs maakt het mogelijk om een SQL-injectie uit te voeren op FortiClient-EMS. Inmiddels is er een proof-of-concept verschenen van die exploit en wordt hij actief misbruikt.

Fortinet waarschuwt in een advisory voor een van de bugs, die het bedrijf zelf trackt als FG-IR-24-007 en die ook bekendstaat als CVE-2023-48788. Die bug krijgt een Kritieke CVSS-score van 9,3, met name omdat aanvallers hem op afstand en zonder authenticatie kunnen uitvoeren. De kwetsbaarheid zit in FortiClientEMS-versies 7.2.0 tot en met 7.2.2 en in versies 7.0.1 tot en met 7.0.10. In versies 7.2.3 en 7.0.11 zijn de kwetsbaarheden opgelost. De bug maakt het mogelijk om een SQL-injectie uit te voeren op apparaten waarop FortiClientEMS draait.

Fortinet zegt dat de bug in het wild wordt misbruikt, maar geeft daar geen details over. Het Nederlandse Digital Trust Center waarschuwt inmiddels ook voor de bug. Daarvan is inmiddels ook een proof-of-concept verschenen, schrijft het DTC, waardoor het in theorie makkelijker is een aanval uit te voeren.

Behalve voor de zeroday waarschuwt Fortinet voor verschillende andere kwetsbaarheden. Een daarvan is FG-IR-23-390 of CVE-2023-47534, die in dezelfde kwetsbare versies van FortiClientEMS zit. Die bug, met een Hoge CVSS-score van 8.7, zit daarnaast in alle versies van FortiClient 6.0, 6.2 en 6.4. Fortinet raadt gebruikers daarvan aan naar een nieuwere versie te migreren. Deze bug is een kwetsbaarheid in de manier waarop elementen in een csv-bestand worden gezet: CWE-1236.

Verder zit er een kwetsbaarheid in FortiManager en FortiAnalyzer: FG-IR-23-304 of CVE-2023-41842. Daarmee kan een aanvaller code uitvoeren op een systeem, maar daarvoor is wel authenticatie nodig. De laatste bug is FG-IR-23-103 of CVE-2023-36554, een kwetsbaarheid in FortiManager. Die bug krijgt een CVSS-score van 7,7, maar is alleen uit te buiten als gebruikers FortiWLM MEA aan hebben staan. Dat gebeurt niet standaard en beheerders kunnen hun systemen beveiligen door deze functie uit te schakelen.