Technical Service Center

  No. Title CVE ID Severity Model 21 [FG-IR-20-105] 인증되지 않은 사용자가 소프트웨어 버전 정보를 확인할 수 있습니다. CVE-2020-15933  CVE-2021-24008 Medium FortiMail/FortiDDoS/ FortiVoic/FOrtiRecorder FortiMail의 승인되지 않은 제어 영역 취약성[CWE-497]으로 인해 민감한 시스템 정보가 노출되면 원격의 인증되지 않은 공격자가 JavaScript 파일을 읽어 잠재적으로 민감한 소프트웨어 버전 정보를 얻을 수 있습니다. Affected Products FortiMail versions 6.0.9 and below. FortiMail versions 6.2.4 and below FortiMail versions 6.4.1 and below. FortiDDoS version 5.4.0. FortiDDoS version 5.3.2 and below. FortiDDoS version 5.2.0. FortiDDoS version 5.1.0. FortiDDoS version 5.0.0. FortiDDoS version 4.7.0. FortiDDoS version 4.6.0. FortiDDoS version 4.5.0. FortiDDoS version 4.4.2 and below. FortiDDoS-CM version 5.3.0. FortiDDoS-CM version 5.2.0. FortiDDoS-CM version 5.1.0. FortiDDoS-CM version 5.0.0. FortiDDoS-CM version 4.7.0. FortiVoice version 6.0.6 and below. FortiRecorder version 6.0.3 and below. Solutions Please upgrade to FortiMail versions 6.0.10 or above. Please upgrade to FortiMail versions 6.2.5 or above. Please upgrade to FortiMail versions 6.4.2 or above. Please upgrade to FortiDDoS versions 5.5.0 or above. Please upgrade to FortiDDoS versions 5.4.3 or above. Please upgrade to FortiDDoS-CM versions 5.4.1 or above. Please upgrade to FortiVoice versions 6.4.0 or above. Please upgrade to FortiVoice versions 6.0.7 or above. Please upgrade to FortiRecorder versions 6.0.4 or above.

No. Title CVE ID Severity Model 20 [FG-IR-21-023] FortiMail의 여러 버퍼 오버플로 CVE-2021-22129 High FortiMail/FortiNDR 20. [FG-IR-21-023] FortiMail의 여러 버퍼 오버플로(https://fortiguard.fortinet.com/psirt/FG-IR-21-023) FortiMail 웹메일 및 관리 인터페이스와 FortiNDR 관리 인터페이스에서 버퍼 크기를 잘못 계산한 사례가 여러 건 발생했으며, 이로 인해 일반적인 웹메일 접근 권한이 있는 인증된 공격자가 버퍼 오버플로를 유발하고 특별히 제작된 HTTP 요청을 통해 승인되지 않은 코드나 명령을 실행할 가능성이 있습니다. 영향을 받는 제품 FortiMail 6.4.4 이하. FortiMail 6.2.6 이하. FortiMail 6.0.10 이하. FortiMail 5.4.12 이하. FortiNDR 7.2.1 이하. FortiNDR 7.1 모든 버전. FortiNDR 7.0 모든 버전. FortiNDR 1.5 모든 버전. FortiNDR 1.4 모든 버전. FortiNDR 1.3 모든 버전. FortiNDR 1.2 모든 버전. FortiNDR 1.1 모든 버전. 솔루션 FortiMail 버전 7.0.0 이상으로 업그레이드하세요. FortiMail 버전 6.4.5 이상으로 업그레이드하세요. FortiMail 버전 6.2.7 이상으로 업그레이드하세요. FortiMail 버전 6.0.11 이상으로 업그레이드하세요. FortiNDR 버전 7.2.1 이상으로 업그레이드하세요.

Public Cloud 환경에서 인프라를 관리하기 위한 방법으로 IAC를 이용한 방법이 있습니다. IAC란? 가상화 기술의 발전으로 기하급수적으로 늘어나는 서버들에 대한 프로비저닝과 운영에 대한 이슈 발생으로 서버 구축과 운영에 대한 자동화가 필요로 프로그래밍 코드로 인프라를 구축/운영할 수 있는 IAC가 생겨났습니다. 이번 내용은 IAC 도구 중 테라폼을 이용한 환경 구성에 대한 가이드 입니다. 테라폼이란? 하시코프(Hashicorp)에서 오픈소스로 개발중인 클라우드 인프라스트럭처 자동화를 지향하는 코드러서의 인프라스트럭처(Iac)도구 Fortinet에서는 git을 운영하여 Terraform을 이용한 FortiVM 배포에 대한 기본 모듈을 제공합니다. https://github.com/fortinet 이중 AWS 환경에서 FortiVM을 배포하기 위한  방법을 확인 해보겠습니다. 우선 테라폼을 사용하기 위해서는 테라폼을 구동할 위치(MAC, Windows, Linux 모두 가능)에 Install이 필요합니다. 구성 가이드는 아래 사이트를 참고 하시기 바랍니다. https://developer.hashicorp.com/terraform/tutorials/aws-get-started/install-cli?in=terraform%2Faws-get-started Windows https://developer.hashicorp.com/terraform/install#windows 2. 환경변수 설정(오른쪽 이미지 참고) 3. 설치확인 CMD -> terraform version Mac    1. 브루를 사용해서 인스톨   $ brew install terraform 2. 설치확인   $terraform –version 테라폼을 시작하기 위해 최소한으로 필요한 정보 1. AWS의 계정 생성 Access Key, Secret Key 만들기 2. 생성된 Key를 이용해 Terraform 파일 *.tf을 생성하여 Provider는 AWS로 지정 region은 테라폼이 생성할 지역을 지정하는 것으로 여기서는 서울(ap-northeast-2)을 지정함 FortiVM 배포 방법 단순히 FortiVM만을 배포하는 것이라면, Fortinet git을 참고할 필요 없이 테라폼 사이트만 참고하여도 가능합니다. 여기서 Terraform 문법에 대한 설명은 별도로 하지 않습니다. 테라폼 사이트에서는 지원하는 벤더별 객체에 대한 구문을 확인할 수 있습니다. FortiVM을 배포하려면 aws_instance 구문을 사용하면 됩니다. https://registry.terraform.io/providers/hashicorp/aws/latest/docs/resources/instance 예시 resource(해당 객체를 생성하기 위한 구문) aws_instance(aws_instacne를 지정) TEST-Fortios(테라폼에서 인스턴스를 지칭하기 위한 임의 이름 지정) 하지만, 단순히 FortiVM만을 배포하기 위해서 테라폼을 사용하기 보다는 Fortinet에서 제공하는 모듈을 이용해 구축하는 것이 안정된 구성을 구축하는 방법입니다. (단, Fortinet git에서 제공하는 모듈이지만, 별도의 Case open과 같은 Fortinet Tec 팀의 지원은 받을 수 없습니다.) Fortinet 에서 지원하는 간단한 구성들은 아래와 같습니다. AWS환경에서는 gwlb,tgw, ha와 같은 구성을 지원하기에 해당 구성을 고객사 환경에 맞게 일부 수정하는 것이 좋습니다. aws-gwlb-tgw를 함께 사용하는 구성 예시 여기에 추가로 Autoscale 기능을 사용하고 싶다면, AWS의 경우 별도의 모듈탭이 존재합니다. 아래와 같이 asg가 포함된 예시들이 Autoscle을 지원하는 모듈로 볼 수 있습니다. 하나의 Securit...

펌웨어는 Release 된 이후 일정 시간이 지나면 더 이상 지원하지 않게 됩니다. 아래 내용 참고 -FortiOS 펌웨어 만료 기간 https://tsc.openbase.co.kr/support/solutions/articles/72000594784-fortinet-product-life-cycle-software- 때문에 주기적으로 혹은 최초 도입 시 사용할 OS 선정이 필요합니다. 아래 내용은 Fortinet에서 권고하는 모델별 OS List 입니다. 하지만, 분기마다 업데이트 되며, 최신 취약점이 반영되지 않았기 때문에 참고사항으로만 보고 판단하는게 좋습니다. https://community.fortinet.com/t5/FortiGate/Technical-Tip-Recommended-Release-for-FortiOS/ta-p/227178#M8405

첨부 파일을 참고 하세요

      No. Title CVE ID Severity Model 1 CLI에서 인증된 SQLI CVE-2024-33501 Medium FortiAnalyzer/FortiManager 2 CLI 명령에서 스택 버퍼 오버플로우 발생 CVE-2024-46663 Medium FortiMail 3 관리자 엔드포인트에서의 크로스 사이트 요청 위조 CVE-2023-48790 High FortiNDR 4 CLI에서 여러 명령 주입 CVE-2024-55590 High FortiIsolator 5 Fortiview/SecurityLogs 페이지의 XSS 결함 CVE-2023-37933 High FortiADC 6 GUI 콘솔에서 잘못된 권한 부여 CVE-2024-45328 High FortiSandbox 7 Apache Camel 취약점 - CVE-2025-27636 CVE-2025-27636 Medium Fortinet 제품은 CVE-2025-27636의 영향을 받지 않습니다. 8 인시던트 페이지에 잘못된 권한이 있습니다. CVE-2024-55592 Low FortiSIEM 9 OpenSSH에서의 사전 인증 서비스 거부 공격 - CVE-2025-26466 CVE-2025-26466 Medium 조사 중-아래 참고 10 디렉토리 탐색 임의 파일 쓰기 취약점 CVE-2024-55597 Medium FortiWeb 11 관리 인터페이스에서의 OS 명령 주입 CVE-2024-54018 Medium FortiSandbox 12 다중 포맷 문자열 취약점 CVE-2024-45324 High FortiOS/FortiPAM/FortiProxy  /FortiSRA/FortiWeb 13 빈 파일 이름을 사용하여 웹 애플리케이션 방화벽 규칙을 우회합니다. CVE-2023-42784  CVE-2024-55594 Medium FortiWeb 14 허가받지 않은 행위자에게 민감한 정보 노출 CVE-2023-40723 High FortiSIEM 15 VM 다운로드 기능과 관련된 서버 측 보안의 클라이언트 측 적용 CVE-2024-52960 Medium FortiSandbox 16 원격 백업 서버 암호 암호화에 사용되는 하드코딩된 키 사용 CVE-2024-54027 High FortiSandbox 17 장치 del 기능의 오류 기반 SQLI CVE-2024-54026 Medium FortiSandbox 18 VM 다운로드 기능에 대한 OS 명령 주입 CVE-2024-52961 High FortiSandbox 19 CLI 명령에서 OS 명령 주입 CVE-2024-32123 Medium FortiAnalyzer/FortiManager 1. CLI에서 인증된 SQLI(https://fortiguard.fortinet.com/psirt/FG-IR-24-130) FortiAnalyzer, FortiManager 및 FortiAnalyzer-BigData의 SQL 명령('SQL 주입') 취약성[CWE-89]에 사용되는 특수 요소의 부적절한 무력화로 인해 권한이 있는 공격자가 특별히 제작된 CLI 요청을 통해 승인되지 않은 코드나 명령을 실행할 수 있습니다. Version Affected Solution FortiAnalyzer 7.6 Not affected Not Applicable FortiAnalyzer 7.4 7.4.0 through 7.4.2 Upgrade to 7.4.3 or above FortiAnalyzer 7.2 7.2.0 through 7.2.5 Upgrade to 7.2.6 or above FortiAnalyzer 7.0 7.0 all versions Migrate to a fixed release FortiAnalyzer 6.4 6.4 all versions Migrate to a fixed release ...