FortiOS – podatność w funkcjonalności VPN

Wczoraj został opublikowany przez producenta komunikat dotyczący krytycznej podatności w usłudze VPN działającej w różnych wersjach systemu operacyjnego FortiOS. Pod jego kontrolą pracują znane i lubiane przez polskich administratorów urządzenia FortiGate. Podatność daje możliwość zdalnemu, nieuwierzytelnionemu atakującemu wykonanie arbitralnego kodu lub polecenia za pomocą specjalnie spreparowanych żądań HTTP.

Rozwiązanie tymczasowe, które proponuje producent, to wyłączenie w FortiOS funkcjonalności VPN SSL (wyłączenie trybu webowego NIE stanowi rozwiązania problemu).

Uwaga: Podatność może być potencjalnie wykorzystywana w środowiskach produkcyjnych.

Poniżej przedstawiamy listę wersji FortiOS wraz z konkretnymi wariantami i informacją o ich podatności oraz rozwiązaniu.