Alert GCSA-19061 - Vulnerabilita' nei prodotti Fortinet

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1

******************************************************************

Alert ID : GCSA-19061
Data : 11 giugno 2019
Titolo : Vulnerabilita' nei prodotti Fortinet

******************************************************************

:: Descrizione del problema

E' stata rilevata una vulnerabilita' grave nel sistema operativo dei prodotti
Fortinet, relativa alle gestione delle autorizzazioni utente dei moduli
SSL-VPN (web-mode e tunnel-mode). Sfruttando questa vulnerabilita', un 
attaccante remoto non autenticato puo' cambiare le password di utenti locali 
ed accedere alle reti interne.


:: Software interessato

FortiOS da 6.0.0 a 6.0.4 
FortiOS da 5.6.0 a 5.6.8 
FortiOS da 5.4.1 a 5.4.10

solo se il servizio SSL-VPN (web-mode o tunnel-mode) e' abilitato.


:: Impatto

Accesso non autenticato alle reti locali protette da VPN.


:: Soluzioni

Aggiornare FortiOS alle versioni 5.4.11, 5.6.9, 6.0.5, 6.2.0 o successive.
La versioni 5.4.0 e inferiori, comprese le 5.2.x, non sono affette.
In caso di impossibilita' di aggiornamento del sistema operativo, l'unica 
soluzione possibile e' migrare l'autenticazione SSL-VPN da locale a remota
(LDAP o RADIUS), o disabilitare completamente il servizio (sia web-mode che
tunnel-mode).


:: Riferimenti

CERT Nazionale Italia
https://www.certnazionale.it/news/2019/06/11/grave-vulnerabilita-in-fortios/

FortiGuard Labs
https://fortiguard.com/psirt/FG-IR-18-389



GARR CERT Newsletter subscribe/unsubscribe:
https://www.cert.garr.it/alert/ricevi-gli-alert-di-cert

-----BEGIN PGP SIGNATURE-----

iF0EARECAB0WIQTGpdiR5MqstacBGHbBnEyTZRJgQgUCXP+C3AAKCRDBnEyTZRJg
QvxXAKDWa48/uJhsM/qVKFbjv/tYsQZkAgCgmVjBFSTtQOtTkO4uS7xhzSq/wYc=
=Q4ID
-----END PGP SIGNATURE-----