Alerta de Vulnerabilidades - FortiManager e FortiAnalyzer
A Fortinet publicou uma atualização de segurança referente a uma vulnerabilidade use-after-free (CVE-2021-32589) no FortiManager e FortiAnalyzer fgfmsd daemon.[1][2]
A condição user-after-free acontece quando um programa marca uma secção de memória como livre, no entanto tenta utilizar essa memória posteriormente. Isto pode resultar na falha do programa.
É importante referir que o FGFM está desativado, por padrão, no FortiAnalyzer e só pode ser ativado em modelos de hardware específicos, como por exemplo:
1000D, 1000E, 2000E, 3000D, 3000E, 3000F, 3500E, 3500F, 3700F, 3900E.
Quando explorada com sucesso, esta vulnerabilidade permite ao atacante, através do envio de um pedido específico para a porta fgfm do dispositivo visado, a execução de código arbitrário remotamente com privilégios de administrador.
As versões afetadas são:
- FortiManager versões anteriores a 5.6.10, versões anteriores a 6.0.10, versões anteriores a 6.2.7, versões anteriores a 6.4.5, versão 7.0.0. e versões 5.4.x;
- FortiAnalyzer versões anteriores a 5.6.10, versões anteriores a 6.0.10, versões anteriores a 6.2.7, versões anteriores a 6.4.5 e versão 7.0.0.
Os utilizadores das versões afetadas devem atualizá-las para a sua versão mais recente:[1]
- FortiManager version 5.6.11 ou mais recente;
- FortiManager version 6.0.11 ou mais recente;
- FortiManager version 6.2.8 ou mais recente;
- FortiManager version 6.4.6 ou mais recente;
- FortiManager version 7.0.1 ou mais recente.
- FortiAnalyzer version 5.6.11 ou mais recente;
- FortiAnalyzer version 6.0.11 ou mais recente;
- FortiAnalyzer version 6.2.8 ou mais recente;
- FortiAnalyzer version 6.4.6 ou mais recente;
- FortiAnalyzer version 7.0.1 ou mais recente.
Caso não seja possível aplicar as atualizações de imediato é recomendado que sejam desativadas as funcionalidades FortiManager na unidade FortiAnalyzer utilizando o seguinte comando:
config system global
set fmg-status disable
end
[1] https://www.fortiguard.com/psirt/FG-IR-21-067
[2] https://us-cert.cisa.gov/ncas/current-activity/2021/07/19/fortinet-releases-security-updates-fortimanager-and-fortianalyzer