Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • CWE-22

CVE-2018-13379

Fortinet FortiOS ve FortiProxy SSL VPN portalında dizin geçişi açığı

Fortinet FortiOS, FortiProxy

Kritik 9,1 CVSS 3.1
Yayımlandı
Güncellendi
22 Eki 2025
Açık yaşı
2702 gün
Kaydı açan
fortinet
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 3 Kas 2021 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 3 May 2022. Fidye yazılımı saldırılarında da kullanılmış.

Yönetici özeti

Bu açık, şirketin VPN geçidine internetten giriş yapmadan erişen bir saldırganın cihazdaki dosyaları indirmesine olanak tanır. Açığın gerçek saldırılarda kullanıldığı bilindiği için risk yüksektir ve güncelleme gecikmeden yapılmalıdır.

ÖzetTürkçe

Fortinet FortiOS ve FortiProxy ürünlerinin SSL VPN web portalında dizin geçişi (path traversal) zafiyeti bulunmaktadır. Kimlik doğrulaması yapmamış bir saldırgan, özel hazırlanmış HTTP kaynak istekleriyle sistem dosyalarını indirebilir. Etkilenen sürümler FortiOS 6.0.0–6.0.4, 5.6.3–5.6.7 ve 5.4.6–5.4.12 ile FortiProxy 2.0.0, 1.2.0–1.2.8, 1.1.0–1.1.6 ve 1.0.0–1.0.7'dir. Açık, CISA'nın bilinen istismar edilen zafiyetler (KEV) listesinde yer almaktadır.

Saldırgan ne yapabilir?

Uzaktaki, kimliği doğrulanmamış bir saldırgan cihazdaki sistem dosyalarını okuyabilir ve bu durum gizliliğin ciddi biçimde bozulmasına yol açar. Zafiyetin erişilebilirliği de etkilediği belirtilmektedir.

Kaynaktaki açıklama (İngilizce)

An Improper Limitation of a Pathname to a Restricted Directory ("Path Traversal") in Fortinet FortiOS 6.0.0 to 6.0.4, 5.6.3 to 5.6.7 and 5.4.6 to 5.4.12 and FortiProxy 2.0.0, 1.2.0 to 1.2.8, 1.1.0 to 1.1.6, 1.0.0 to 1.0.7 under SSL VPN web portal allows an unauthenticated attacker to download system files via special crafted HTTP resource requests.

CISA'nın önerdiği eylem (İngilizce)

Apply updates per vendor instructions.

Ne yapmalı?

  1. Etkilenen FortiOS ve FortiProxy cihazlarını Fortinet'in yayımladığı güvenlik güncellemelerine göre, üretici talimatlarını izleyerek yükseltin. Genel öneri
  2. CISA gereği: Güncellemeleri üretici talimatlarına göre uygulayın. CISA
  3. Güncelleme hemen yapılamıyorsa SSL VPN web portalına internetten erişimi geçici olarak kısıtlayın veya yalnızca güvenilir IP adreslerine izin verin. Genel öneri

Ek önlemler

  • SSL VPN portalına yönelik olağan dışı HTTP isteklerini ve dizin geçişi denemelerini günlüklerde izleyin. Genel öneri
  • Cihaz yamalanmadan önce dışarıdan erişilebilir durumdaysa, olası ele geçirilmeye karşı VPN kullanıcılarının parolalarını sıfırlayın ve yapılandırmayı gözden geçirin. Genel öneri
  • Yönetim ve VPN arayüzlerini mümkün olduğunca gereksiz yere internete açmayın ve düzenli yama takvimi uygulayın. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Fortinet FortiOS, FortiProxy Sürüm belirtilmemiş –

Kaynaklar4 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.