Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • CWE-285
  • CWE-863

CVE-2018-13382

Fortinet FortiOS ve FortiProxy SSL VPN portalında yetkilendirme açığı

Fortinet FortiOS, FortiProxy

Kritik 9,1 CVSS 3.1
Yayımlandı
Güncellendi
22 Eki 2025
Açık yaşı
2702 gün
Kaydı açan
fortinet
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 10 Oca 2022 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 10 Tem 2022. Fidye yazılımı saldırılarında da kullanılmış.

Yönetici özeti

Bu açık, uzaktan erişim (VPN) altyapısına dışarıdan, herhangi bir giriş bilgisi olmadan müdahale edilmesine izin veriyor ve aktif olarak istismar edildiği biliniyor. Saldırganlar çalışan hesaplarını ele geçirip kurum ağına girebilir. Etkilenen cihazların vakit kaybetmeden güncellenmesi gerekiyor.

ÖzetTürkçe

Fortinet FortiOS ve FortiProxy ürünlerinin SSL VPN web portalında uygunsuz yetkilendirme (improper authorization) zafiyeti bulunuyor. Kimliği doğrulanmamış bir saldırgan, özel hazırlanmış HTTP istekleriyle bir SSL VPN web portalı kullanıcısının parolasını değiştirebiliyor. Etkilenen sürümler FortiOS 6.0.0–6.0.4, 5.6.0–5.6.8 ve 5.4.1–5.4.10 ile FortiProxy 2.0.0, 1.2.0–1.2.8, 1.1.0–1.1.6 ve 1.0.0–1.0.7'dir. Açık, CISA'nın bilinen istismar edilen zafiyetler (KEV) listesinde yer alıyor.

Saldırgan ne yapabilir?

Saldırgan, kimlik doğrulaması olmadan SSL VPN kullanıcılarının parolalarını değiştirerek bu hesapları ele geçirebilir ve kurumsal ağa yetkili kullanıcı gibi erişebilir. Bu durum gizlilik ve bütünlük açısından yüksek risk oluşturur.

Kaynaktaki açıklama (İngilizce)

An Improper Authorization vulnerability in Fortinet FortiOS 6.0.0 to 6.0.4, 5.6.0 to 5.6.8 and 5.4.1 to 5.4.10 and FortiProxy 2.0.0, 1.2.0 to 1.2.8, 1.1.0 to 1.1.6, 1.0.0 to 1.0.7 under SSL VPN web portal allows an unauthenticated attacker to modify the password of an SSL VPN web portal user via specially crafted HTTP requests

CISA'nın önerdiği eylem (İngilizce)

Apply updates per vendor instructions.

Ne yapmalı?

  1. Fortinet'in yayımladığı güvenlik güncellemesini uygulayın; FortiOS ve FortiProxy cihazlarınızı üretici talimatlarına göre etkilenmeyen, düzeltilmiş bir sürüme yükseltin. Genel öneri
  2. CISA KEV gereği: Güncellemeleri üretici talimatlarına uygun şekilde uygulayın. CISA
  3. Güncelleme hemen yapılamıyorsa, SSL VPN web portalına internetten erişimi geçici olarak kısıtlayın veya yalnızca güvenilir IP adreslerine izin verin. Genel öneri
  4. Güncellemeden sonra SSL VPN kullanıcılarının parolalarını sıfırlayın ve yetkisiz parola değişikliği olup olmadığını kontrol edin. Genel öneri

Ek önlemler

  • SSL VPN hesapları için çok faktörlü kimlik doğrulamayı etkinleştirin; böylece parolası değiştirilen bir hesap tek başına yeterli olmaz. Genel öneri
  • VPN günlüklerinde olağandışı parola değişikliği isteklerini ve şüpheli oturum açma denemelerini izleyin. Genel öneri
  • Yönetim ve VPN arayüzlerini mümkün olduğunca internete açık bırakmayın ve ürün yazılımlarını düzenli olarak güncelleyin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Fortinet FortiOS, FortiProxy Sürüm belirtilmemiş –

Kaynaklar4 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.