Kritieke kwetsbaarheden in Fortinet FortiOS en FortiProxy
De meest kritieke kwetsbaarheden in Fortinet FortiOS en FortiProxy zijn CVE-2023-42789 en CVE-2023-42790 en stellen een kwaadwillende met toegang tot het captive portal in staat om willekeurige code uit te voeren. De kwetsbaarheden zijn ingeschaald als 'High/High'. Dit betekent dat er een grote kans is dat deze kwetsbaarheden misbruikt worden en dat de schade groot kan zijn.
Wat is het risico?
De kwetsbaarheden CVE-2023-42789 en CVE-2023-42790 zijn van toepassing op FortiOS en FortiProxy en stellen een kwaadwillende met toegang tot het captive portal in staat om willekeurige code uit te voeren. De kwetsbaarheid CVE-2024-23112 is ook van toepassing op FortiOS en FortiProxy. Deze kwetsbaarheid stelt een geauthentiseerde kwaadwillende in staat om een beveiligingsmaatregel te omzeilen. Hierdoor kan toegang tot een bookmark verkregen worden. De kwetsbaarheid CVE-2023-46717 is alleen van toepassing op FortiOS als deze geconfigureerd is met FortiAuthenticator in High Availability (HA). Deze kwetsbaarheid stelt een geauthentiseerde kwaadwillende met leesrechten in staat om ook schrijfrechten te verkrijgen.
Wat kun je doen?
Fortinet heeft updates uitgebracht om de bovengenoemde kwetsbaarheden in FortiOS en FortiProxy te verhelpen. Het Digital Trust Center (DTC) adviseert om de beschikbare beveiligingsupdates zo snel mogelijk te (laten) installeren naar de onderstaande versies:
- FortiOS 7.4.2 of hoger
- FortiOS 7.2.7 of hoger
- FortiOS 7.0.14 of hoger
- FortiOS 6.4.15 of hoger
- FortiOS 6.2.16 of hoger
- FortiProxy 7.4.3 of hoger
- FortiProxy 7.2.9 of hoger
- FortiProxy 7.0.15 of hoger
- FortiProxy 2.014 of hoger
Als je gebruik maakt van FortiSASE versie 23.3.b., heeft Fortinet de kwetsbaarheden CVE-2023-42789 en CVE-2023-42790 al verholpen en hoef je geen actie te ondernemen. Als het niet mogelijk is om de beveiligingsupdates meteen te (laten) installeren, adviseert Fortinet voor de kwetsbaarheden CVE-2024-23112, CVE-2023-42789 en CVE-2023-42790 alternatieve maatregelen.
Naar de beveiligingsupdates
Dit bericht is oorspronkelijk gepubliceerd op de website van het Digital Trust Center. Sinds 1 januari 2026 is het Digital Trust Center een onderdeel van het Nationaal Cyber Security Centrum (NCSC).