Pinewood Security Bulletin – Critical vulnerabilities in FortiOS/FortiProxy Captive Portal

Beschrijving

Er bevinden zich twee ernstige kwetsbaarheden (CVE-2023-42789 en CVE-2023-42790) in de Captive Portal van FortiOS en FortiProxy die kwaadwillenden kunnen misbruiken voor het uitvoeren van willekeurige code. Deze kwetsbaarheden werden vorige maand al verholpen met nieuwe (FortiOS) updates waarover wij eerder al berichtten vanwege een ernstige kwetsbaarheid in sslvpnd. De kans is dan ook aanwezig dat Fortinet-devices niet kwetsbaar zijn vanwege de geïnstalleerde updates.

Voor succesvol misbruik van de kwetsbaarheden, moet aan de volgende voorwaarden zijn voldaan:

• Het device is niet voorzien zijn van de eerder uitgebrachte updates;
• De Captive Portal is op het device geactiveerd;
• De Captive Portal maakt gebruik van form-based authenticatie;
• De aanvaller beschikt over (HTTP-)toegang tot de Captive Portal.

De kwetsbaarheden zijn door Fortinet zelf ontdekt. Er is nog geen exploitcode of actieve uitbuiting bekend.

Kwetsbare versies

De onderstaande versies van FortiOS en FortiProxy bevatten de beschreven kwetsbaarheden:

• FortiOS versie 7.4.0 t/m 7.4.1
• FortiOS versie 7.2.0 t/m 7.2.5
• FortiOS versie 7.0.0 t/m 7.0.12
• FortiOS versie 6.4.0 t/m 6.4.14
• FortiOS versie 6.2.0 t/m 6.2.15
• FortiProxy versie 7.4.0
• FortiProxy versie 7.2.0 t/m 7.2.6
• FortiProxy versie 7.0.0 t/m 7.0.12
• FortiProxy versie 2.0.0 t/m 2.0.13

Oplossingen en tijdelijke mitigaties

Wij raden aan de door Fortinet beschikbare updates zo snel mogelijk te installeren, mocht dit nog niet gedaan zijn. Maak gebruik van één van de onderstaande versies van FortiOS of FortiProxy:

• FortiOS versie 7.4.3 of hoger
• FortiOS versie 7.2.7 of hoger
• FortiOS versie 7.0.14 of hoger
• FortiOS versie 6.4.15 of hoger
• FortiOS versie 6.2.16 of hoger
• FortiProxy versie 7.4.1 of hoger
• FortiProxy versie 7.2.7 of hoger
• FortiProxy versie 7.0.13 of hoger
• FortiProxy versie 2.0.14 of hoger

Meer informatie

• https://www.fortiguard.com/psirt/FG-IR-23-328

Managed Security Services (MSS) klanten

Als u een Pinewood Managed Security Services contract heeft is er geen actie nodig. Pinewood neemt de benodigde maatregelen om uw omgeving te beschermen tegen deze kwetsbaarheden.

Vragen

Voor vragen over deze security bulletin kunt u contact opnemen met de Pinewood Servicedesk. De servicedesk is bereikbaar via +31 15 251 36 33 en via support@pinewood.nl.

===== ENGLISH =====

Description

Two critical vulnerabilities (CVE-2023-42789 and CVE-2023-42790) were reported in the Captive Portal of FortiOS and FortiProxy that allow malicious actors to execute arbitrary code on vulnerable devices. These vulnerabilities were already addressed last month with new updates for FortiOS. Pinewood reported about these updates at that time, due to a serious vulnerability in sslvpnd that these updates fixed. It is therefore possible that Fortinet devices are not vulnerable due to the installed updates.

For successful exploitation of the vulnerabilities, the following conditions must be met:

• The device has not been updated with the aforementioned updates from February 2024;
• The Captive Portal is activated on the device;
• The Captive Portal uses form-based authentication;
• The attacker has (HTTP) access to the Captive Portal.

The vulnerabilities were internally discovered by Fortinet. There is no exploit code or active exploitation known yet.

Vulnerable versions

The following versions of FortiOS and FortiProxy are vulnerable:

• FortiOS version 7.4.0 to 7.4.1
• FortiOS version 7.2.0 to 7.2.5
• FortiOS version 7.0.0 to 7.0.12
• FortiOS version 6.4.0 to 6.4.14
• FortiOS version 6.2.0 to 6.2.15
• FortiProxy version 7.4.0
• FortiProxy version 7.2.0 to 7.2.6
• FortiProxy version 7.0.0 to 7.0.12
• FortiProxy version 2.0.0 to 2.0.13

Solutions and workarounds

We recommend installing the updates available from Fortinet as soon as possible if this has not already been done. Use one of the following versions of FortiOS or FortiProxy:

• FortiOS version 7.4.3 or above
• FortiOS version 7.2.7 or above
• FortiOS version 7.0.14 or above
• FortiOS version 6.4.15 or above
• FortiOS version 6.2.16 or above
• FortiProxy version 7.4.1 or above
• FortiProxy version 7.2.7 or above
• FortiProxy version 7.0.13 or above
• FortiProxy version 2.0.14 or above

More information

• https://www.fortiguard.com/psirt/FG-IR-23-328

Managed Security Services (MSS) customers

If you have a Pinewood Managed Security Services contract, no action is required. Pinewood takes the necessary measures to protect your environment from these vulnerabilities.

Questions

For questions about this security bulletin, please contact the Pinewood Service desk. The service desk can be contacted at +31 15 251 36 33 and via support@pinewood.nl.