CVE-2022-42475-RCE-POC

Nome della vulnerabilità

CVE-2022-42475 PoC per vulnerabilità RCE su Fortinet

Causa della vulnerabilità

Poiché la convalida dei dati inseriti dall'utente in sslvpnd è carente, un utente malintenzionato non autenticato può innescare un overflow del buffer inviando pacchetti appositamente predisposti, portando all'esecuzione di codice arbitrario sul sistema di destinazione.

Versioni interessate

2.0 <= FortiOS <= 7.2.2 0.0 <= FortiOS <= 7.0.8 4.0 <= FortiOS <= 6.4.10 2.0 <= FortiOS <= 6.2.11 0.0 <= FortiOS-6K7K <= 7.0.7 4.0 <= FortiOS-6K7K <= 6.4.9 2.0 <= FortiOS-6K7K <= 6.2.11 0.0 <= FortiOS-6K7K <= 6.0.14

Versioni non interessate

FortiOS >= 7.2.3 FortiOS >= 7.0.9 FortiOS >= 6.4.11 FortiOS >= 6.2.12 FortiOS-6K7K >= 7.0.8 FortiOS-6K7K >= 6.4.10 FortiOS-6K7K >= 6.2.12 FortiOS-6K7K >= 6.0.15

Soluzione di mitigazione

Al momento, il produttore ha rilasciato una versione di sicurezza per correggere questa vulnerabilità Si consiglia agli utenti interessati di aggiornare tempestivamente: https://docs.fortinet.com/product/fortigate/7.2

Indicatori di compromissione (IOC) per autodiagnosi

Verificare la presenza nel sistema delle seguenti voci di log: Logdesc="Application crashed" and msg="[…] application:sslvpnd,[…], Signal 11 received, Backtrace: […]"

Verificare la presenza nel sistema dei seguenti file

/data/lib/libips.bak /data/lib/libgif.so /data/lib/libiptcp.so /data/lib/libipudp.so /data/lib/libjepg.so /var/.sslvpnconfigbk /data/etc/wxd.conf /flash

L'utente può verificare i file sopra elencati con i seguenti comandi:

diagnose sys last-modified-files /data/lib diagnose sys last-modified-files /var/ diagnose sys last-modified-files /data/etc/ diagnose sys last-modified-files /flash