พบช่องโหว่ใหม่บน Fortinet FortiWeb แนะผู้ใช้เตรียมอัปเดต

ทีมงาน Rapid7 ได้เผยช่องโหว่ใหม่บน FortiWeb ซึ่งปัจจุบันยังไม่มีแพตช์ออกมา แต่แนะนำให้ผู้ใช้งานจับตาการอัปเดตปลายเดือนนี้

CVE-2021-22123 (CVSSv3 8.7/10) เป็นช่องโหว่ของ OS Command Injection ซึ่งผู้โจมตีจะต้องผ่านการพิสูจน์ตัวตนให้ถึงหน้า Management Interface ก่อนเข้าไปทำ injection ในส่วนของ SAML Server Config ซึ่งจะได้รับการประมวลผลในสิทธิ์ระดับ Root อย่างไรก็ดีทีมงาน Rapid7 เผยว่าอาจจะนำไปใช้ร่วมกับช่องโหว่อื่นเพื่อทำ Authentication Bypass ในขั้นแรกก่อนด้วย CVE-2020-29015 โดยทีมงานแนะนำว่าให้จำกัดการเข้าถึงหน้า Management Interface จากเครือข่ายที่เหมาะสม โดยเฉพาะการเข้าผ่านอินเทอร์เน็ต

อีกประเด็นหนึ่งก็คือทีมงาน Fortinet ชี้ว่า Rapid7 เปิดเผยช่องโหว่เร็วกว่ากำหนด 90 วัน หลังจากเพิ่งยื่นรายงานมาช่วงต้นเดือนมิถุนายน และตนวางแผนที่จะปล่อยแพตช์ในปลายเดือนนี้ติดตามข้อมูลจากบล็อกของ Rapid7 ได้ที่ https://www.rapid7.com/blog/post/2021/08/17/fortinet-fortiweb-os-command-injection/

ที่มา : https://www.bleepingcomputer.com/news/security/fortinet-delays-patching-zero-day-allowing-remote-server-takeover/ และ https://www.zdnet.com/article/patch-released-for-fortinet-command-injection-vulnerability/