BDU:2019-02848: Уязвимость операционной системы FortiOS, связанная с ошибками разграничения доступа, позволяющая нарушителю читать и записывать данные в загрузочном секторе памяти
Детали уязвимости BDU:2019-02848
Описание
Уязвимость операционной системы FortiOS связана с ошибками разграничения доступа. Эксплуатация уязвимости может позволить нарушителю с привилегиями администратора читать и записывать данные в загрузочном секторе памяти
Что делать с BDU:2019-02848
Уязвимость среднего уровня (CVSS 7.2) — устраните в рамках планового цикла обновлений. Рекомендуемый срок — 30 дней. Оцените применимость к вашей инфраструктуре через список затронутого ПО.
⚠ Для этой уязвимости существует публичный эксплойт — риск активной эксплуатации повышен. Устраните в первую очередь.
Используйте калькулятор CVSS для пересчёта с учётом вашей среды. Автоматизируйте мониторинг через модуль БДУ ФСТЭК в КиберОснова.
Оценка критичности (CVSS)
AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:HAV:L/AC:L/Au:S/C:C/I:C/A:CCWE — тип уязвимости
Тактики и техники
Уязвимое ПО (1)
| Вендор | Название | Версия | Платформа |
|---|---|---|---|
| Fortinet Inc. | FortiOS | 5.4.1 | FortiGate-60E-LENC |
Среды функционирования (1)
| Вендор | Название | Версия | Платформа |
|---|---|---|---|
| Fortinet Inc. | FortiOS | 5.4.1 | FortiGate-60E-LENC |
Рекомендации по устранению
Для сертифицированных ПАК FotriGate (под управлением операционной системы FortiOS 5.4.1) необходимо исключить любую возможность управления устройством со стороны недоверенных АРМ (хостов), для чего: 1) Разрешить административный доступ только на интерфейсах, принадлежащих сети управления (GUI: в панели "Network" перейти в "Interfaces" и установить следующие значения: для параметра "Role" - "LAN", для параметра "Addressing Mode" - "Manual", для параметра "IP/Network Mask" – IP-адрес и маску подсети интерфейса управления, для параметра "IPv4" (поля "Administrative Access") – активировать "HTTPS", "SSH"). 2) Ограничить доступ к управлению устройством только доверенными АРМ администраторов (GUI: в панели "System" перейти в "Administrators" и установить следующие значения: для параметра "Type " - "Local User", активировать "Restrict login to trusted hosts" и ввести IP-адреса доверенных хостов (АРМ администраторов) в полях "Ttrusted Host"). Также возможно исключить любую возможность управления устройством со стороны недоверенных АРМ (хостов): - Для управления ПАК «FortiGate» должен использоваться специализированный порт MGMT (MGMT 1) либо порт 1 (в вариантах исполнения ПАК «FortiGate», для которых порт MGMT не обозначен). - Каналы управления ПАК «FortiGate», расположенные в пределах контролируемой зоны, должны быть защищены организационно-техническими мерами. - Управление ПАК «FortiGate» по каналам управления, выходящим за пределы контролируемой зоны, должны осуществляться только с применением методов и средств, устойчивых к пассивному и/или активному прослушиванию сети и сертифицированных в установленном порядке. Обновление до версии FortiOS 5.X
SLA ФСТЭК №117
7 дней
по базовой оценке CVSS 7.2
Уточните SLA под вашу среду
Базовый балл 7.2 не учитывает инфраструктуру. Задайте Environmental-метрики (CR/IR/AR) в калькуляторе — SLA пересчитается автоматически.
Пересчитать CVSS с учётом средыThreat Intelligence
SSVC: Приоритетное устранение
Высокий риск эксплуатации. Запланируйте устранение в ближайшем окне обновлений.
Информация
Обнаружена
2019-04-15
Опубликована
2019-08-13
Обновлена
2021-03-23
Эксплойт
Существует
Исправление
Информация об устранении отсутствует
Статус
Подтверждена в ходе исследований
Управляйте уязвимостями, а не таблицами
Платформа автоматически подтягивает новые записи из БДУ, привязывает к вашим активам и считает SLA по приказу №117 — без ручного мониторинга.
- Уязвимости → активы → ответственные — цепочка за минуту
- SLA-таймеры и эскалация — дедлайны не горят
- PDF-отчёт для ФСТЭК — за один клик
Внешние ресурсы
Связанные уязвимости
Уязвимость демона WAD (Web Access Daemon) операционных систем FortiOS, позволяющая нарушителю выполнить произвольный код
Уязвимость графического интерфейса пользователя (GUI) системы управления учетными данными FortiPAM, операционной системы
Уязвимость операционных систем FortiOS и прокси-сервера для защиты от интернет-атак FortiProxy, связанная с непринятием
Уязвимость интерфейса командной строки (CLI) системы управления учетными данными FortiPAM, операционной системы FortiOS,
Уязвимость интерфейса командной строки (CLI) операционных систем FortiOS и прокси-сервера для защиты от интернет-атак Fo
Что добавляет КиберОснова к данным БДУ ФСТЭК
CVSS v4.0 + калькулятор
Единственный бесплатный калькулятор CVSS v4.0 на русском языке
SLA по приказу №117
Автоматический расчёт сроков устранения: 24ч, 7дн, 30дн
EPSS + CISA KEV
Оценка вероятности эксплуатации и статус активных атак
Полнотекстовый поиск
По названию, CVE, CWE, описанию — русский и английский
Связанные уязвимости
Автоматический подбор по затронутому ПО
Мобильная версия
Адаптивный интерфейс для работы с телефона и планшета
Автоматизируйте управление уязвимостями
КиберОснова SGRC: БДУ ФСТЭК + CVSS + SLA по приказу №117 в одном интерфейсе.