漏洞名称：
FortiOS/FortiProxy栈溢出漏洞(CVE-2023-33308)
组件名称：
FortiOS，FortiProxy
影响范围：
7.2.0 ≤ FortiOS ≤ 7.2.3
7.0.0 ≤ FortiOS ≤7.0.10
7.2.0 ≤ FortiProxy ≤7.2.2
7.0.0 ≤ FortiProxy ≤7.0.9
漏洞类型：
栈溢出
利用条件：
1、用户认证：否
2、前置条件：无
3、触发方式：远程
综合评价：
<综合评定利用难度>：容易，无需授权即可远程代码执行。
<综合评定威胁等级>：严重，能造成远程代码执行。
官方解决方案：
已发布
漏洞分析
组件介绍
Fortinet提供了一系列网络安全解决方案，包括防火墙、入侵防御系统、安全网关、网络安全管理、端点安全、云安全和安全服务等。Fortinet的产品和服务广泛应用于企业、服务提供商、政府和教育等各个领域，为客户提供全面的网络安全保护。
漏洞简介
2023年7月13日，深信服安全团队监测到一则FortiOS/FortiProxy组件存在栈溢出漏洞漏洞的信息，漏洞编号：(CVE-2023-33308)，漏洞威胁等级：严重。
该漏洞由于在代理模式设为深度检查的情况下，允许远程攻击者通过构造能到达代理策略或具有代理模式的防火墙策略的伪造数据包，实现执行任意代码，最终获取服务器最高权限。
影响范围
目前受影响的FortiOS，FortiProxy 版本：
7.2.0 ≤ FortiOS ≤ 7.2.3
7.0.0 ≤ FortiOS ≤7.0.10
7.2.0 ≤ FortiProxy ≤7.2.2
7.0.0 ≤ FortiProxy ≤7.0.9
解决方案
官方修复建议
当前官方已发布最新版本，建议受影响的用户及时更新升级到最新版本。链接如下：
https://docs.fortinet.com/product/fortigate/7.4
https://docs.fortinet.com/product/fortiproxy/7.2
参考链接
https://www.fortiguard.com/psirt/FG-IR-23-183
时间轴
深信服监测到Fortinet官方发布安全补丁。
深信服千里目安全技术中心发布漏洞通告。
原文始发于微信公众号（深信服千里目安全技术中心）：【漏洞通告】FortiOS/FortiProxy栈溢出漏洞(CVE-2023-33308)
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论