焦点速读：Fortinet FortiOS sslvpnd远程代码执行漏洞 (CVE-2022-42475) 安全风险通告

Fortinet FortiOS 是美国飞塔（Fortinet）公司的一套专用于 FortiGate 网络安全平台上的安全操作系统。该系统为用户提供防火墙、防病毒、IPSec/SSLVPN、Web内容过滤和反垃圾邮件等多种安全功能。

【资料图】

近日，奇安信CERT监测到 Fortinet FortiOS sslvpnd远程代码执行漏洞，FortiOS sslvpnd存在堆溢出漏洞，未经身份验证的远程攻击者通过特制请求触发堆溢出，从而在目标系统上执行任意代码或命令。该漏洞影响Fortinet防火墙和SSL VPN等产品，目前已监测到该漏洞的在野利用。鉴于该漏洞影响范围极大，建议客户尽快做好自查及防护。

威胁评估

处置建议

1、升级安全版本

官方已发布安全更新，可以通过升级到以下版本修复漏洞：

FortiOS >= 7.2.3

FortiOS >= 7.0.9

FortiOS >= 6.4.11

FortiOS >= 6.2.12

FortiOS-6K7K >= 7.0.8

FortiOS-6K7K >= 6.4.10

FortiOS-6K7K >= 6.2.12

FortiOS-6K7K >= 6.0.15

2、攻击排查建议

官方已发布目前在野利用监测的IOC：

检查系统中是否存在以下文件：

/data/lib/libips.bak

/data/lib/libgif.so

/data/lib/libiptcp.so

/data/lib/libipudp.so

/data/lib/libjepg.so

/var/.sslvpnconfigbk

/data/etc/wxd.conf

/flash

可通过以下命令进行检查：

diagnose syslast-modified-files /data/libdiagnose syslast-modified-files /var/diagnose syslast-modified-files /data/etc/diagnose syslast-modified-files /flash

检查是否存在下列日志项

Logdesc="Application crashed" and msg="[...] application:sslvpnd,[...], Signal 11 received, Backtrace: [...]"

检查FortiGate是否存在以下IP的TCP连接：

188.34.130.40:444103.131.189.143:30080,30081,30443,20443192.36.119.61:8443,444172.247.168.153:8033

参考资料

[1]https://www.fortiguard.com/psirt/FG-IR-22-398

标签： 是否存在 目标系统 身份验证