فورتینت در خصوص آسیب پذیری بحرانی در ابزار Fortiwlm هشدار داد!

فورتینت هجدهم دسامبر ۲۰۲۴، طی یک بولتن امنیتی به یک آسیب پذیری بحرانی در ابزار FortiWLM[1] پرداخت. این آسیب پذیری به مهاجمان از راه دور اجازه می‌دهد تا با اجرای کد یا دستورات غیرمجاز از طریق درخواست‌های وب ساخته شده ویژه، دستگاه‌ها را تحت کنترل خود درآورند.

FortiWLM یک ابزار مدیریت متمرکز برای نظارت، مدیریت و بهینه سازی شبکه‌های بی سیم است. این ابزار توسط سازمان‌های دولتی، مراقبت‌های بهداشتی، موسسات آموزشی و شرکت‌های بزرگ مورد استفاده قرار می‌گیرد.

این آسیب پذیری که با شناسه CVE-2023-34990 (امتیاز CVSS: 9.6)، دنبال می‌شود، یک نقص نسبی پیمایش مسیر است.

زک هانلی، محقق Horizon3، این آسیب ‌پذیری را در می 2023 کشف و فاش کرد. با این حال، این نقص ده ماه پچ نشده باقی ماند و هانلی تصمیم گرفت اطلاعات و POC  آن را در 14 مارس 2024 طی یک گزارش فنی منتشر کند. فورتینت اکنون، ۹ ماه پس از این افشاگری تصمیم به انتشار یک بولتن امنیتی گرفت تا به این آسیب پذیری بپردازد!

CVE-2023-34990 به مهاجمان احراز هویت نشده اجازه می‌دهد تا از اعتبارسنجی ورودی نامناسب در اِند پوینت ‘/ems/cgi-bin/ezrf_lighttpd.cgi’ سوء استفاده کنند. هکرها با استفاده از تکنیک‌های پیمایش دایرکتوری در پارامتر “ImageName” هنگامی که “OP_TYPE” روی ” upgradelogs” تنظیم شده باشد، می‌توانند فایل‌های لاگ حساس را از سیستم بخوانند.

این لاگ‌ها اغلب حاوی IDهای نشست administrator می‌باشند که می‌توانند برای ربودن نشست‌های admin  و دسترسی سطح بالا مورد استفاده قرار گیرند و به هکرها اجازه دهند تا دسترسی کامل به دستگاه‌ را بدست آورند.

هکرها با سوء استفاده از عدم اعتبارسنجی ورودی، می‌توانند درخواستی را ایجاد کنند که در آن پارامتر imagename حاوی یک پیمایش مسیر باشد و به مهاجم اجازه دهد هر فایل لاگی را در سیستم بخواند.

جالب است که FortiWLM دارای لاگ‌های بسیار مفصلی است و شناسه نشست تمام کاربران احراز هویت شده را ثبت می‌کند. هکرها با خواندن فایل لاگ می‌توانند شناسه نشست یک کاربر و داده‌های لاگین او را بربایند و از endpoint احراز هویت شده سوء استفاده کنند.

ترکیب آسیب پذیری CVE-2023-34990 با CVE-2023-48782

این تمام ماجرا نیست. یک مهاجم همچنین می‌تواند CVE-2023-34990 را با آسیب پذیری CVE-2023-48782  (امتیاز CVSS: 8.8)، یک نقص تزریق فرمان (command injection) احراز هویت شده که در FortiWLM 8.6.6  پچ شده است، ترکیب کند تا امکان اجرای کد از راه دور با سطح دسترسی root فراهم شود.

نسخه‌های آسیب پذیر و پچ‌ها

آسیب پذیری CVE-2023-34990، نسخه‌های 8.6.0 تا 8.6.5 و 8.5.0 تا 8.5.4 ابزار FortiWLM را تحت تاثیر قرار می‌دهد و در نسخه‌های ۸.۶.۶ و ۸.۵.۵ پچ شده است.

با توجه به استقرار FortiWLM در محیط‌های بحرانی، این ابزار یک هدف ارزشمند برای مهاجمان می‌باشد، چرا که نفوذ به آن از راه دور می‌تواند منجر به اختلال در شبکه و افشای داده‌های حساس شود.
از این رو، اکیداً توصیه می‌شود که adminهای FortiWLM  به‌روزرسانی‌های موجود را هر چه سریع‌تر، اعمال کنند.

به روزرسانی و ممیزی منظم پیکربندی دستگاه برای حفظ امنیت و جلوگیری از سوء استفاده‌های احتمالی در محیط‌های بحرانی ضروری است.

[1] Fortinet Wireless Manager

منابع