金門縣金城鎮公所金門縣金城鎮公所

發布編號

NICS-ANA-2023-0000071

發布時間

Fri Mar 03 10:31:44 CST 2023

事件類型

漏洞預警

發現時間

Wed Mar 01 00:00:00 CST 2023

警訊名稱

Fortinet FortiNAC為用來保護企業數位資產之產品，可用於掌握與防護連結於企業網路之IT設備、IoT設備及ICS等設備，因其存在高風險安全漏洞(CVE-2022-39952)，允許遠端攻擊者於未經授權情況下寫入任意檔案，進而達成遠端執行任意程式碼，請儘速確認並進行更新或評估採取緩解措施。

內容說明

影響平台

受影響版本如下：

FortiNAC 8.3、8.5至8.8所有版本

FortiNAC 9.1.0至9.1.7、9.2.0至9.2.5及9.4.0版本

影響等級

高

建議措施

目前Fortinet官方已針對此漏洞釋出更新程式，請各機關儘速進行版本確認與更新：

FortiNAC請升級至9.1.8(含)以上版本、9.2.6(含)以上版本及9.4.1(含)以上版本

參考資料

1.https://www.fortinet.com/products/network-access-control

2.https://www.fortiguard.com/psirt/FG-IR-22-300

3.https://securityaffairs.com/142553/hacking/poc-exploit-code-fortinet-fortinac.html

4.https://www.horizon3.ai/fortinet-fortinac-cve-2022-39952-deep-dive-and-iocs/

5.https://www.picussecurity.com/resource/blog/cve-2022-39952-fortinac-remote-code-execution-exploit-explained

6.https://nvd.nist.gov/vuln/detail/CVE-2022-39952

7.https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-39952

此類通告發送對象為通報應變網站登記之資安人員。若貴 單位之資安人員有變更，可逕自登入通報應變網站（https://www.ncert.nat.gov.tw）進行修改。若您仍為貴單位之資安人員但非本事件之處理人員，請協助將此通告告知相關處理人員。