개요
Fortinet 제품에서 발생하는 취약점을 해결하는 업데이트가 제공되었습니다. 해당하는 버전 사용자는 최신 버전으로 업데이트하시기 바랍니다.
대상 제품
CVE-2024-27784, CVE-2024-27783, CVE-2024-27782
- FortiAIOps 2.0 버전: 2.0.0
CVE-2023-50178
- FortiADC 7.4 버전: 7.4.0
- FortiADC 7.2 버전: 7.2.0(포함) ~ 7.2.3(포함)
- FortiADC 7.1 버전: 7.1 All
- FortiADC 7.0 버전: 7.0 All
- FortiADC 6.2 버전: 6.2 All
- FortiADC 6.1 버전: 6.1 All
- FortiADC 6.0 버전: 6.0 All
CVE-2024-23663
- FortiExtender 7.4 버전: 7.4.0(포함) ~ 7.4.2(포함)
- FortiExtender 7.2 버전: 7.2.0(포함) ~ 7.2.4(포함)
- FortiExtender 7.0 버전: 7.0.0(포함) ~ 7.0.4(포함)
해결된 취약점
인증된 원격 공격자가 API 엔드포인트나 로그 파일에서 중요 정보를 검색할 수 있는 취약점(CVE-2024-27784 )
CSRF 취약점으로 인해 인증되지 않은 원격 공격자가 피해자를 속여 악의적인 GET 요청을 실행함으로써 인증된 사용자를 대신하여 임의의 동작을 수행할 수 있는 취약점(CVE-2024-27783)
세션 만료 취약점으로 인해 공격자가 훔친 기존 세션 토큰을 재사용하여 조작된 요청을 통해 승인되지 않은 작업을 수행할 수 있는 취약점(CVE-2024-27782)
부적절한 인증서 검증 취약점으로 인해 원격 및 인증되지 않은 공격자가 개인 SDN 커넥터 및 FortiToken Cloud와 같은 다양한 원격 서버와 장치 간 통신 채널에 대해 중간자 공격을 수행할 수 있는 취약점(CVE-2023-50178)
취약점 패치
최신 업데이트를 통해 취약점 패치가 제공되었습니다. 참고 사이트의 안내에 따라 최신 취약점 패치 버전으로 업데이트 하시기 바랍니다.
CVE-2024-27784, CVE-2024-27783, CVE-2024-27782
- FortiAIOps 2.0 버전: 2.0.1 및 이후 버전
CVE-2023-50178
- FortiADC 7.4 버전: 7.4.1 및 이후 버전
- FortiADC 7.2 버전: 7.2.4 및 이후 버전
- FortiADC 7.1 버전: Migrate to a fixed release
- FortiADC 7.0 버전: Migrate to a fixed release
- FortiADC 6.2 버전: Migrate to a fixed release
- FortiADC 6.1 버전: Migrate to a fixed release
- FortiADC 6.0 버전: Migrate to a fixed release
CVE-2024-23663
- FortiExtender 7.4 버전: 7.4.3
- FortiExtender 7.2 버전: 7.2.5
- FortiExtender 7.0 버전: 7.0.5
참고 사이트
[1] CVE-2024-27784 Detail
https://nvd.nist.gov/vuln/detail/CVE-2024-27784
[2] FortiAIOps – Sensitive Information leak to an Unauthorized Actor
https://fortiguard.fortinet.com/psirt/FG-IR-24-072
[3] CVE-2024-27783 Detail
https://nvd.nist.gov/vuln/detail/CVE-2024-27783
[4] FortiAIOps – Cross-site request forgery
https://fortiguard.fortinet.com/psirt/FG-IR-24-070
[5] CVE-2024-27782 Detail
https://nvd.nist.gov/vuln/detail/CVE-2024-27782
[6] FortiAIOps – Improper Session Management
https://fortiguard.fortinet.com/psirt/FG-IR-24-069
[7] CVE-2023-50178 Detail
https://nvd.nist.gov/vuln/detail/CVE-2023-50178
[8] Multiple lack of client-side certificate validation when establishing secure connections
https://fortiguard.fortinet.com/psirt/FG-IR-22-298
[9] CVE-2024-23663 Detail
https://nvd.nist.gov/vuln/detail/CVE-2024-23663
[10] Privilege escalation from low privilege administrator