Fortinet Ürünlerinde Kimlik Doğrulama Bypass Zafiyeti
Fortinet, FortiOS, FortiProxy ve FortiPAM ürünlerini etkileyen kritik bir güvenlik zafiyeti için acil güvenlik güncellemesi yayınladı. Bu zafiyet, saldırganların kimlik doğrulama süreçlerini tamamen atlayarak yönetilen cihazlara tam administratif erişim sağlamasına olanak tanıyor.
Zafiyet Detayları
CVE-2024-26009 – Authentication Bypass Zafiyeti
Temel Bilgiler:
- CVE Kodu: CVE-2024-26009
- CVSS Skoru: 7.9 (Yüksek Seviye)
- CWE Kodu: CWE-288
- Zafiyet Türü: Authentication Bypass Using Alternate Path or Channel
- Etki Kapsamı: Tam sistem kontrolü ve yetkisiz kod çalıştırma
- Keşfeden: Fortinet Product Security Team – Théo Leleu
Nedir: Bu zafiyet, FortiGate cihazları ile FortiManager merkezi yönetim sistemi arasındaki FGFM (FortiGate-to-FortiManager) iletişim protokolünde bulunan temel bir kimlik doğrulama açığından kaynaklanır. Protokol implementasyonundaki alternatif kimlik doğrulama yolu hatası, saldırganların normal güvenlik kontrollerini atlayarak sisteme yetkisiz erişim sağlamasına olanak tanır.
Nasıl Çalışır:
- Hedef Tespit: Saldırgan FortiManager tarafından yönetilen FortiGate cihazlarını tespit eder
- Seri Numara Keşfi: Hedef FortiManager’ın seri numarasını sosyal mühendislik, OSINT veya diğer yöntemlerle öğrenir
- FGFM İstek Hazırlama: Seri numara bilgisini kullanarak kötü niyetli FGFM protokol istekleri oluşturur
- Kimlik Doğrulama Bypass: Protokoldeki alternatif yol açığından yararlanarak normal authentication süreçlerini atlar
- Admin Erişimi: Hedef cihaza tam administratif yetkilerle erişim sağlar
Saldırı Önkoşulları:
- Hedef cihazın FortiManager tarafından yönetiliyor olması
- FortiManager seri numarasının bilinmesi
- FGFM protokol portuna (541) ağ erişimi
- Temel FGFM protokol bilgisi
Etki Kapsamı ve Risk Değerlendirmesi
Etkilenen Ürünler ve Versiyonlar
FortiOS:
| Versiyon Ailesi | Etkilenen Versiyonlar | Güvenli Versiyon | Durum |
|---|---|---|---|
| FortiOS 6.4.x | 6.4.0 – 6.4.15 | 6.4.16+ | ⚠️ Kritik Güncelleme |
| FortiOS 6.2.x | 6.2.0 – 6.2.16 | 6.2.17+ | ⚠️ Kritik Güncelleme |
| FortiOS 6.0.x | Tüm versiyonlar | EOL – Geçiş Gerekli | 🚨 End of Life |
FortiProxy:
| Versiyon Ailesi | Etkilenen Versiyonlar | Güvenli Versiyon |
|---|---|---|
| FortiProxy 7.0.x | 7.0.0 – 7.0.15 | 7.0.16+ |
| FortiProxy 7.2.x | 7.2.0 – 7.2.8 | 7.2.9+ |
| FortiProxy 7.4.x | 7.4.0 – 7.4.2 | 7.4.3+ |
Diğer Ürünler:
| Ürün | Etkilenen Versiyonlar | Önerilen Aksiyon |
|---|---|---|
| FortiPAM | 1.0.x, 1.1.x, 1.2.x | Yeni versiyona tam geçiş |
| FortiSwitchManager | 7.0.x – 7.2.3 | Güvenlik güncellemesi mevcut |
Risk Senaryoları
Kurumsal Ortamlar:
- Branch Office Takeover: Uzak şube FortiGate’lerin ele geçirilmesi
- Central Management Compromise: FortiManager üzerinden tüm yönetilen cihazlara erişim
- Network Infrastructure Control: Tüm ağ güvenlik politikalarının manipüle edilmesi
- VPN Gateway Hijacking: Uzaktan erişim sistemlerinin kontrolü
Saldırı Senaryoları:
- Persistent Backdoor: Sistem yapılandırmalarına gizli erişim kapıları ekleme
- Traffic Interception: Tüm ağ trafiğinin izlenmesi ve kaydedilmesi
- Lateral Movement: İç ağda yayılma ve kritik sistemlere erişim
- Data Exfiltration: Hassas verilerinuzaktan sızıntısı
Etkilenmeyi Tespit Etme Yöntemleri
1. Versiyon Kontrolü
FortiOS Versiyon Tespiti:
# CLI üzerinden versiyon kontrolü
get system status
# Detaylı sistem bilgisi ve build numarası
diagnose system info
# Hardware platform ve firmware detayları
get hardware status
# HA cluster durumunda tüm üyelerin versiyonu
diagnose sys ha status
FortiProxy Versiyon Kontrolü:
# Versiyon ve build bilgisi
show version
# Sistem durumu ve uptime bilgisi
show system status
# License ve özellik durumu
diagnose system autoupdate status
2. FGFM Bağlantı Durumu ve Log Analizi
FortiManager Bağlantı Kontrolü:
# FortiManager bağlantı durumu
diagnose fmgr connection
# FGFM tunnel durumu ve istatistikleri
diagnose fmgr status
# FortiManager ile olan tüm iletişim logları
diagnose debug application fgfm -1
diagnose debug enable
Şüpheli FGFM Trafiği Tespiti:
# FGFM protokol trafiğini yakala
diagnose sniffer packet any 'port 541' 4
# Belirli FortiManager IP'si ile trafiği izle
diagnose sniffer packet wan1 'host <fortimanager_ip> and port 541' 6
# FGFM bağlantı geçmişini incele
execute log filter category 0 subtype fgfm
execute log filter start-time 2024-01-01:00:00:00
execute log display
3. Güvenlik Log İncelemesi
Admin Oturum Analizi:
# Admin kullanıcı girişlerini kontrol et
execute log filter field user admin
execute log filter field apprisk critical
execute log display
# Beklenmeyen admin hesaplarını tespit et
show system admin user
# Son admin oturumlarının detaylı incelemesi
execute log filter field action login
execute log filter start-time 2024-01-01:00:00:00
execute log display
Yapılandırma Değişiklik Logları:
# Configuration change logları
execute log filter field logdesc "Configuration changed"
execute log display
# Policy değişikliklerini incele
execute log filter field action "policy"
execute log display
# VPN yapılandırma değişikliklerini kontrol et
execute log filter field logdesc "VPN"
execute log display
4. Network Traffic ve Bağlantı Analizi
Ağ Bağlantı Durumu:
# Aktif network bağlantılarını listele
diagnose sys session list
# Routing table'ı kontrol et
get router info routing-table all
# Interface istatistiklerini incele
diagnose hardware deviceinfo nic <interface_name>
# BGP/OSPF neighbor durumu (varsa)
get router info bgp summary
get router info ospf neighbor
Firewall Policy Kontrolü:
# Mevcut policy'leri listele
show firewall policy
# Hit count'u yüksek olan policy'leri incele
diagnose firewall policy-statistics
# Şüpheli policy'leri tespit et
show firewall policy | grep -E "(any|all)"
About the Author
