聚焦源代码安全，网罗国内外最新资讯！
编译：代码卫士
该缓冲区溢出漏洞的CVSS评分为9.3分，是“严重”等级的漏洞。当程序尝试从内存缓冲区中读取的数据多于可用数据时就会触发，导致访问邻近的内存未知，引发风险行为或崩溃后果。
Fortinet 发布安全公告称，尚未发现该漏洞遭在野利用的迹象，并提到影响如下产品：
-
FortiOS 7.2.0至7.2.3
-
FortiOS 7.0.0至7.0.9
-
FortiOS 6.4.0至6.4.11
-
FortiOS 6.2.0至6.2.12
-
FortiOS 6.0，所有版本
-
FortiProxy 7.2.0至7.2.2
-
FortiProxy 7.0.0 至 7.0.8
-
FortiProxy 2.0.0 至 2.0.11
-
FortiProxy 1.2，所有版本
-
FortiProxy 1.1，所有版本
修复该漏洞的目标升级版本为：
-
FortiOS 7.4.0及以上
-
FortiOS 7.2.4及以上
-
FortiOS 7.0.10及以上
-
FortiOS 6.4.12及以上
-
FortiOS 6.2.13及以上
-
FortiProxy 7.2.3及以上
-
FortiProxy 7.0.9及以上
-
FortiProxy 2.0.12及以上
-
FortiOS-6K7K 7.0.10及以上
-
FortiOS-6K7K 6.4.12及以上
-
FortiOS-6K7K 6.2.13及以上
Fortinet 公司表示，在安全通告中列出的50款设备机型并不受该漏洞任意代码执行部分的影响，仅受拒绝服务部分的影响，即使它们运行的是易受攻击的FortiOS 版本也不例外。
未在公告中列出的设备机型同时受任意代码执行和拒绝服务影响，因此管理员应当尽快应用可用的安全更新。如无法应用，则建议禁用HTTP/HTTPS管理员接口或限制可远程访问该接口的IP地址，这些都是可用的应变措施。安全公告中提供了如何应用这些应变措施的指南。
威胁行动者密切关注影响 Fortinet 产品的严重漏洞，尤其是无需认证即可利用的漏洞，因为它们可借此获得对企业网络的初始访问权限。因此快速缓解该漏洞十分重要。例如，2月16日，Fortinet公司修复了影响 FortiNAC和FortiWeb 产品的两个严重的远程代码执行漏洞，呼吁用户立即应用这些安全更新。四天之后，利用该漏洞的PoC exploit 就出现，而活跃的在野利用始于2023年2月22日。
Fortinet修复两个严重的RCE漏洞，其中一个两年前就发现？
https://www.bleepingcomputer.com/news/security/fortinet-warns-of-new-critical-unauthenticated-rce-vulnerability/
题图：Pixabay License
本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。
奇安信代码卫士 (codesafe)
国内首个专注于软件开发安全的产品线。
觉得不错，就点个 “在看” 或 "赞” 吧~
原文始发于微信公众号（代码卫士）：Fortinet：注意这个严重的未认证RCE漏洞！
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论