Vulnerabilidad crítica de RCE no autenticada en FortiOS (CVE-2022-42475)

INTRODUCCIÓN

Una vulnerabilidad de desbordamiento de búfer basada en heap [CWE-122] en FortiOS SSL-VPN puede permitir a un atacante remoto no autenticado ejecutar código o comandos arbitrarios a través de solicitudes específicamente diseñadas.(CVE-2022-42475)
CVSSv3 Score: 9.3

ANÁLISIS

Fortinet es consciente de un caso en el que esta vulnerabilidad fue explotada en la naturaleza, y recomienda validar inmediatamente sus sistemas contra los siguientes indicadores de compromiso:

Múltiples entradas de registro con:

Logdesc="Application crashed" and msg="[…] application:sslvpnd,[…], Signal 11 received, Backtrace: […]"

Presencia de los siguientes artefactos en el sistema de archivos:

/data/lib/libips.bak
/data/lib/libgif.so
/data/lib/libiptcp.so
/data/lib/libipudp.so
/data/lib/libjepg.so
/var/.sslvpnconfigbk
/data/etc/wxd.conf
/flash

Conexiones a direcciones IP sospechosas desde el FortiGate:

188.34.130.40:444
103.131.189.143:30080,30081,30443,20443
192.36.119.61:8443,444
172.247.168.153:8033

Versiones afectadas:

• FortiOS versión 7.2.0 a 7.2.2
• FortiOS versión 7.0.0 a 7.0.8
• FortiOS versión 6.4.0 a 6.4.10
• FortiOS versión 6.2.0 a 6.2.11
• FortiOS versión 6.0.0 a 6.0.15
• FortiOS versión 5.6.0 a 5.6.14
• FortiOS versión 5.4.0 a 5.4.13
• FortiOS versión 5.2.0 a 5.2.15
• FortiOS versión 5.0.0 a 5.0.14
• FortiOS-6K7K versión 7.0.0 a 7.0.7
• FortiOS-6K7K versión 6.4.0 a 6.4.9
• FortiOS-6K7K versión 6.2.0 a 6.2.11
• FortiOS-6K7K versión 6.0.0 a 6.0.14

RECOMENDACIONES

• Actualizar a FortiOS versión 7.2.3 o superior
• Actualizar a FortiOS versión 7.0.9 o superior
• Actualizar a FortiOS versión 6.4.11 o superior
• Actualización a FortiOS versión 6.2.12 o superior
• Actualización a FortiOS-6K7K versión 7.0.8 o superior
• Actualización a FortiOS-6K7K versión 6.4.10 o superior
• Actualización a la próxima versión de FortiOS-6K7K 6.2.12 o superior
• Actualización a FortiOS-6K7K versión 6.0.15 o superior

REFERENCIAS

https://www.fortiguard.com/psirt/FG-IR-22-398
https://www.rapid7.com/blog/post/2022/12/12/cve-2022-42475-unauthenticated-remote-code-execution-vulnerability-in-fortios-exploitation-reported/
https://www.tenable.com/blog/cve-2022-42475-fortinet-patches-zero-day-in-fortios-ssl-vpns