Компания Fortinet обещают вскоре выпустить исправление для 0-day уязвимости внедрения команд, обнаруженной в Fortinet FortiWeb (WAF). Успешная эксплуатация этой проблемы позволяет аутентифицированному злоумышленнику выполнять произвольные команды от имени пользователя root посредством страницы конфигурации сервера SAML.
Уязвимость, влияющую на Fortinet FortiWeb версии 6.3.11 (и более ранние), обнаружили эксперты компании Rapid7. Проблеме пока не присвоен идентификатор CVE, но исследователи предупреждают, что злоумышленник может использовать ее для получения полного контроля над уязвимым устройством с максимально возможными привилегиями. По их словам, новый баг является вариацией уязвимости CVE-2021-22123 , исправленной в Fortinet FortiWeb летом текущего года.
Хотя эксплуатация бага требует аутентификации, отмечается, что для начала атакующий может воспользоваться, например, проблемой CVE-2020-29015, исправленной ранее в 2021 году, и получить полный контроль над уязвимыми серверами.
«[Злоумышленник] сможет установить постоянный шелл, ПО для майнинга криптовалют или другое вредоносное ПО. В том маловероятном случае, если интерфейс управления открыт для доступа через интернет, взломанную платформу можно использовать для доступа к уязвимой сети за пределами DMZ », — пишут в Rapid7.
Так как патча для новой проблемы пока нет, администраторам рекомендуется заблокировать доступ к интерфейсу управления FortiWeb из ненадежных сетей (включая интернет).
Эксперты Rapid7 писали, что связь с разработчиками Fortinet оказалась практически односторонней, и они так и не получили от компании никакой информации относительно патча. Исследователи выразили надежду, что уязвимость будет исправлена в ближайшее время.
В ответ на раскрытие данных об уязвимости представители Fortinet распространили официальный пресс-релиз, в котором заявили, что Rapid7 раскрыла информацию о баге раньше завершения общепринятого 90-дневного периода, установленного для ответственного раскрытия информации. В компании принесли извинения клиентами и пообещали поспешить, выпустив исправление до конца текущей недели.
Представитель Rapid7 признают, что раскрытие данных действительно произошло всего через 68 дней после обнаружения уязвимости, но лишь потому, что представители Fortinet перестали отвечать исследователям, и у тех не было никаких данных о выходе патча.
