דילוג לתוכן

חדשות טכנולוגיה עם מקורות גלויים

חיפוש
שפה: he
ittechwire

חדשות טכנולוגיה עם מקורות גלויים

  1. דף הבית
  2. אבטחה

אבטחה

CISA מוסיפה את פגיעות ה-CLI של Fortinet, CVE-2025-61624, לרשימת הפגיעויות המנוצלות לאחר ש-Unit 42 קשרה אותה לשתל PEERSTITCH

באג חציית הנתיבים בדירוג בינוני ב-FortiOS ובמוצרים קשורים שימש להשגת הרשאות root בחומות אש במהלך חדירה שהחלה במכשיר FortiManager, לפי Unit 42.

מערכת ittechwire4 דק׳ קריאהמקורות: 4תרגום בעזרת בינה מלאכותית · שפת המקור: English
מבט קדמי על מכשיר חומת אש לבן מסוג Fortinet FortiGate 6501F להתקנה בארון תקשורת, מונח על שטיח בז', עם גרילי מאווררים למעלה ושורות של פורטי רשת SFP28 ו-QSFP28 למטה; מכשיר FortiGate מייצג, לא אחת מחומות האש מהחדירה ש-Unit 42 מתארת.
Premeditated (letterboxed by ittechwire) · CC BY-SA 4.0

נקודות מרכזיות

  1. 1CISA הוסיפה את CVE-2025-61624 של Fortinet לקטלוג ה-KEV שלה ב-16 באוקטובר 2026, לצד פגיעות CVE-2026-102764 של BeyondTrust.
  2. 2הודעת האבטחה FG-IR-26-122 של Fortinet מדרגת את חציית הנתיבים ב-CLI כבינונית (CVSSv3 6.0); היא דורשת גישה מורשית מאומתת ומסומנת כמנוצלת בפועל.
  3. 3תיקוני FortiOS נמצאים בגרסאות 7.6.5 ו-7.4.10 ומעלה; הענפים 7.2, 7.0 ו-6.4 חייבים לעבור לגרסה מתוקנת, לפי Fortinet.
  4. 4Unit 42 אומרת שתוקפים המזוהים כ-CL-STA-0954 (UNC5820) ניצלו את CVE-2024-47575 ב-FortiManager, ולאחר מכן את CVE-2025-61624 כדי להשיג הרשאות root ולפרוס את השתל השוכן בזיכרון PEERSTITCH.
  5. 5Unit 42 אומרת שנתונים של יותר מ-500 חומות אש מנוהלות, כולל מכשירי לקוחות, נחשפו, אך היא לא אימתה חדירה לרשתות הלקוחות.

הידיעה המלאה

הסוכנות האמריקאית לאבטחת סייבר ותשתיות (CISA) הוסיפה ב-16 באוקטובר את CVE-2025-61624, פגיעות חציית נתיבים (path traversal) בכמה מוצרי Fortinet, לקטלוג הפגיעויות המנוצלות הידועות (KEV) שלה, בהסתמך על ראיות לניצול פעיל. אותו עדכון כלל גם את CVE-2026-102764, עקיפת אימות ב-BeyondTrust Remote Support. CISA מעודדת את כל הארגונים לתעדף את תיקון הפגיעויות המופיעות בקטלוג.

הודעת האבטחה FG-IR-26-122 של Fortinet, שפורסמה לראשונה ב-2026-04-14, מתארת חולשת חציית נתיבים (CWE-22) בממשק שורת הפקודה (CLI) המשותף ל-FortiOS, FortiProxy, FortiPAM ו-FortiSwitchManager. לפי Fortinet, תוקף שכבר מחזיק בגישה מורשית יכול להעביר ארגומנטים מעוצבים במיוחד לפקודות קיימות כדי לכתוב או למחוק קבצים שרירותיים. הספקית מדרגת את הבעיה כבינונית עם ציון CVSSv3 של 6.0, מסווגת אותה כדורשת אימות ועם השפעה של הסלמת הרשאות, ומסמנת אותה כמנוצלת בפועל. ב-FortiOS הבעיה מתוקנת בגרסאות 7.6.5 ו-7.4.10 ומעלה, בעוד שלכל הגרסאות בענפים 7.2, 7.0 ו-6.4 אין תיקון ויש להעבירן לגרסה מתוקנת. Fortinet מציינת את FortiProxy 7.6.5 ו-7.4.12, FortiPAM 1.7.1 ו-FortiSwitchManager 7.2.8 ו-7.0.7 כגרסאות מתוקנות, כאשר גם ענפים ישנים יותר של FortiProxy ו-FortiPAM מחייבים מעבר גרסה. טלאי וירטואלי זמין דרך מסד הנתונים FMWP של Fortinet, כך נמסר בהודעת האבטחה.

Unit 42 של Palo Alto Networks קשרה את הפגיעות לחדירה אצל ספק שירותים מנוהלים (MSP) בתחום התקשורת, שאותה היא מתארכת לספטמבר 2024 ועוקבת אחריה תחת השם CL-STA-0954, המוכר גם כ-UNC5820. לפי Unit 42, התוקפים ניצלו תחילה את CVE-2024-47575 במכשיר FortiManager מרכזי ונטלו ארכיון ובו תצורות פעילות, חומר קריפטוגרפי ומסדי נתונים של יותר מ-500 חומות אש FortiGate מנוהלות, שהגנו הן על הספק והן על לקוחותיו. החוקרים אמרו שהתוקפים שחזרו מאוחר יותר פרטי גישה מהקבצים הללו, פתחו הפעלות SSL VPN וניצלו לרעה את CVE-2025-61624 דרך תכונת ה-auto-script של FortiOS כדי לעבור מגישת מנהל להרשאות root. גישה זו שימשה להתקנת PEERSTITCH, ש-Unit 42 מתארת כשתל ARM64 חדש השוכן בזיכרון, שאינו כותב קובץ בינארי קבוע לדיסק, אינו פותח פורטים מאזינים ואינו יוצר חיבורים יוצאים, אלא נסמך על תעבורה של תהליכים לגיטימיים.

Unit 42 דיווחה גם על ערוץ reverse shell שנבנה באמצעות ניצול לרעה של מודול Apache mod_md בחומות האש, ועל צעדים אנטי-פורנזיים כגון עצירת דמוני הרישום (logging), ניקוי יומני קריסה (crash logs) ומחיקת חשבונות זדוניים ואובייקטי auto-script זמן קצר לאחר השימוש בהם. לדבריה, חלק ממה שעשו התוקפים לאחר השגת הגישה דומה לחדירות שנקשרו לגורמים החשודים כגורמי מדינה, והיא העריכה ברמת ביטחון בינונית שהתוקפים התחזו ל-FortiManager כדי למשוך תצורות מחומות אש אחרות. Unit 42 הדגישה שחקירתה כיסתה רק את הסביבה של הספק עצמו: היא לא בחנה את רשתות הלקוחות, ומה שהיא מתעדת הוא חשיפה של תצורות ופרטי גישה של חומות אש של לקוחות, ולא פריצה מאומתת לרשתות הלקוחות עצמן.

עבור המגינים, הצעד המיידי הוא לשדרג את מוצרי Fortinet המושפעים או להעביר ענפים שאין להם תיקון. Unit 42 ממליצה לסקור גרסאות תצורה של FortiOS לאיתור אובייקטי auto-script ששמותיהם מכילים מחרוזות חציית ספריות, לבדוק יומני קריסה לאיתור segmentation faults בדמוני הרישום, ה-IKE וה-syslog, לחפש אזורי זיכרון בני-הרצה חריגים בדמוני הרישום וה-VPN, ולבקר כתיבות זיכרון בין-תהליכיות ביניהם. החוקרים גם המליצו להתייחס לפרטי גישה ולאישורים (certificates) המוחזקים בפלטפורמת ניהול כאל כאלה שנפרצו ברגע שהפלטפורמה נפרצת, שכן חומר אמון זה נותר תקף עד להחלפתו. ״הפריצה הזו גם אינה מסתיימת כשהפלטפורמה מתוקנת״, כתבה Unit 42.

למה זה חשוב

לפי Unit 42, מכשיר ניהול יחיד שנפרץ חשף פרטי גישה ומפתחות של יותר מ-500 חומות אש, ולאחר מכן באג מאומת בדירוג בינוני העניק לתוקפים הרשאות root. ההכללה ב-KEV מעלה את עדיפות התיקון, וממצאי Unit 42 מרמזים שהתקנת טלאים לבדה עשויה שלא להספיק במקומות שבהם נחשפו פרטי גישה ואישורים של מערכות ניהול.

ציר זמן

  1. · פורסם

נושאים#Fortinet#FortiOS#CISA KEV#Unit 42#פגיעויות#נוזקות

מקורות

ידיעה זו מתבססת על המקורות הבאים. קראו אותם לקבלת ההקשר המלא.

  1. 1CISA · הודעה רשמיתCISA Adds Two Known Exploited Vulnerabilities to Catalogwww.cisa.gov
  2. 2Fortinet FortiGuard Labs PSIRT · מקור ראשוניPath Traversal in CLI (FG-IR-26-122)fortiguard.fortinet.com
  3. 3Palo Alto Networks Unit 42 · מחקרUnit 42 Uncovers PEERSTITCH, a Stealthy FortiGate Implantunit42.paloaltonetworks.com
  4. 4Security Affairs · דיווח חדשותיU.S. CISA adds Fortinet Multiple Products and BeyondTrust Remote Support flaws to its Known Exploited Vulnerabilities catalogsecurityaffairs.com

להמשך קריאה

כל התוצאות