A Fortinet corrigiu quatro vulnerabilidades no firewall de aplicativos da web FortiWeb, descobertas por um pesquisador da Positive Technologies. As falhas podem permitir desde a execução remota de código (RCE), injeção de SQL até ataque distribuído de negação de serviço (ataque DDoS – Distributed Denial of Service) e impactam os produtos FortiProxy SSL VPN e FortiWeb Web Application Firewall (WAF).
Vários avisos publicados pelo FortiGuard Labs neste mês e em janeiro mencionam várias vulnerabilidades críticas que a empresa tem corrigido em seus produtos. Algumas dessas vulnerabilidades relatadas anteriormente em outros produtos Fortinet, mas foram corrigidas apenas recentemente nas versões do FortiProxy SSL VPN.
Digna de nota é a vulnerabilidade CVE-2018-13381 no FortiProxy SSL VPN, que pode ser acionada remotamente por um hacker não autenticado por meio de uma solicitação Post elaborada. Devido a um estouro de buffer no portal SSL VPN do FortiProxy, uma solicitação Post especialmente criada, de grande tamanho, quando recebida pelo produto, é capaz de travá-lo, levando a uma condição de negação de serviço.
Da mesma forma, a CVE-2018-13383 é preocupante porque um invasor pode explorá-la para acionar um estouro na VPN por meio da propriedade de conteúdo HREF do JavaScript. Se uma página da web criada por um invasor contendo a carga útil do JavaScript for analisada pelo FortiProxy SSL VPN, a execução remota de código será possível, além do DDoS.
As mais perigosas dessas quatro vulnerabilidades são injeção de SQL (CVE-2020-29015) e buffer overflow (CVE-2020-29016), pois sua exploração não requer autorização. A primeira, por exemplo, pode ser explorada por uma pessoa não autenticado para executar consultas ou comandos SQL arbitrários por meio de solicitações da web que têm instruções SQL maliciosas injetadas no cabeçalho de autorização.
Veja isso
Hacker vaza exploits de cerca de 50 mil VPNs Fortinet vulneráveis
Fortinet reforça segurança de endpoints
Já a segunda vulnerabilidade permite a execução de código arbitrário. Além disso, a vulnerabilidade da string de formato (CVE-2020-29018) também pode permitir a execução de código, mas sua exploração requer autorização.
É importante observar que muitas dessas vulnerabilidades foram classificadas pelo National Vulnerability Database (repositório de dados e gerenciamento de vulnerabilidades do governo dos EUA) como tendo uma classificação de gravidade alta ou crítica, de acordo com o sistema de pontuação comum de vulnerabilidades (CVSS), cuja pontuação foi de 3.1.
E visto também que as vulnerabilidades tornadas públicas em janeiro possibilitam injeção de SQL, RCE e DDoS de várias maneiras é aconselhável aos clientes da Fortinet a atualizar a versões fixas de seus produtos assim que possível para se proteger contra essas vulnerabilidades críticas.
No mesmo dia em que publicou as correções, a empresa anunciou para o final de março a versão 7.0 do FortiOS, o seu principal sistema operacional, que virá com mais de 300 novos recursos, afirma o comunicado sobre o assunto. Entre as novidades haverá proteção de SASE Edge e expansão para acesso zero trust. No dia seguinte, a Fortinet publicou seus resultados financeiros de 2020, marcados por uma receita total de US$ 2,59 bilhões, 20% superior à de 2019. A empresa afirmou esperar uma receita entre US$ 3,025 bilhões e US$ 3,075 bilhões no ano fiscal de 2021.
