⬇ Scarica il santino: ·
San Xortigate, che traboccò dalla VPN
Patrono delle VPN SSL, dei cancelli sul perimetro e delle patch rilasciate prima dell'avviso.
Vita
Nel giugno 2023 Charles Fol e Dany Bach di LEXFO annunciarono un heap overflow nella VPN SSL di FortiOS, raggiungibile prima di qualsiasi autenticazione e quindi sfruttabile da chiunque per eseguire codice sul firewall. Il nome unisce Fortigate allo XOR della routine difettosa. Fortinet pubblicò le versioni corrette qualche giorno prima dell'avviso ufficiale, e il bug finì presto nel catalogo CISA delle vulnerabilità sfruttate.
Preghiera
O San Xortigate, che entri dal cancello che doveva proteggerci, fa' che le nostre VPN controllino le lunghezze prima di decifrare. Amen.
Come si festeggia
Si festeggia aggiornando FortiOS e chiedendosi, ancora una volta, se la VPN debba proprio stare esposta a tutta Internet.
Cancello che trabocca, padrone che non tocca.