Technical Service Center

  No. Title CVE ID Severity Model 1 공유 환경에서 RestAPI를 통해 백엔드 정보 및 로그에 액세스 CVE-2024-45323 Medium FortiEDR Manager 2 FortiClient - ZTNA 서비스에서 클라이언트 측 인증서 검증 부족 CVE-2024-31489 Medium FortiClient 3 관리 인터페이스에서의 다중 경로 탐색 CVE-2024-21753 Medium FortiClientEMS 4 진단 로그에서 민감한 파일 공개 다운로드 CVE-2024-31490 Medium FortiSandbox 5 쿠키 보안 정책 우회 CVE-2024-36511 Low FortiADC 6 FortiClient(전체) - SAML SSO를 사용한 클라이언트 측 인증서 검증 부족 CVE-2022-45856 Medium FortiClient 7 DAS 구성 요소의 명령에 사용되는 특수 요소의 부적절한 무력화 CVE-2024-33508 Medium FortiClientEMS 8 부적절한 사용자 검증 및 비밀번호 변경 요청에 대한 무차별 대입 방지 기능 없음 CVE-2024-45327 High FortiSOAR 9 암호화되지 않은 키체인 영구 비밀번호 CVE-2024-35282 Medium FortiClientiOS 10 다운로드 로그 기능에 대한 IDOR CVE-2023-44254 Medium FortiAnalyzer/FortiManager 1. 공유 환경에서 RestAPI를 통해 백엔드 정보 및 로그에 액세스(https://fortiguard.fortinet.com/psirt/FG-IR-24-371) FortiEDR Manager API의 부적절한 액세스 제어 취약점[CWE-284]으로 인해 공유 환경 컨텍스트에서 REST API 권한이 있는 인증된 관리자가 프로필에 있고 특정 조직으로 제한된 권한을 가지고 다른 조직과 관련된 정보가 포함된 백엔드 로그에 액세스할 수 있습니다.  Version Affected Solution FortiEDR Manager 6.2 6.2.0 through 6.2.2 Upgrade to 6.2.3 or above FortiEDR Manager 6.0 6.0 all versions Migrate to a fixed release This issue is already fixed at the configuration level on all shared environement maintained by Fortinet. Please follow the sequent on On-premise deployment: 1- open the following file: /opt/FortiEDR/webapp/rbac/rbac-config.json 2- look for "rbacId":"rest-system-inventory-get-system-logs". in that object add this -"isCrossSystem": true Eventually it should be like that: {     "rbacId": "rest-system-inventory-get-system-logs",     "value": "rest.SystemInventoryRestController.getSystemLogs",     "isCrossSystem": true,     "type": "API" } 3- restart manger: run this command:  "fortiedr restart manager"  2. FortiClient - ZTNA 서비스에서 클라이언트 측 인증서 검증 부족(htt...

FortiManager Special Notices 이 섹션은 관리자가 FortiManager 7.2.7을 사용할 때 주의해야 할 몇 가지 운영 변경 사항을 강조합니다. 쉘 접근 권한 제거 FortiManager 7.2.6부터 쉘 접근 권한이 제거되었습니다. 이전에 쉘 접근을 활성화하기 위해 사용되던 다음 CLI 변수들이 제거되었습니다: config system admin setting set shell-access {enable | disable} set shell-password <passwd> 쉘 접근이 활성화되었을 때 쉘에 접근하기 위해 사용되던 다음 CLI 명령어가 제거되었습니다: execute shell 백업 모드 ADOM을 위한 fcp-cfg-service 활성화 Backup Mode ADOM에서 관리되는 FortiGate의 CLI를 통해 구성 백업을 수행할 때, FortiManager에서 "fcp-cfg-service"를 다음 명령어로 활성화해야 합니다: bash 코드 복사 config system global set fcp-cfg-service enable end FortiGate 연결을 위한 사용자 지정 인증서 이름 검증 FortiManager 7.2.5에서는 FortiGate 관리자가 업로드한 사용자 지정 인증서의 CN 또는 SAN에 대한 새로운 검증이 도입되었습니다. 이 사용자 지정 인증서는 FortiGate 장치가 FortiManager에 연결될 때 사용됩니다. FortiGate 및 FortiManager 관리자는 다음 CLI 명령어를 사용하여 사용자 지정 인증서 사용을 구성할 수 있습니다: FortiGate 관련 CLI: config system central-management local-cert: FGFM 프로토콜에서 사용될 인증서. ca-cert: FGFM 프로토콜에서 사용될 CA 인증서. FortiManager 관련 CLI: config system global fgfm-ca-cert: 추가 fgfm CA 인증서를 설정. fgfm-cert-exclusive: 로컬 또는 CA 인증서를 독점적으로 사용할지 여부를 설정. fgfm-local-cert: fgfm 로컬 인증서를 설정. FortiManager 7.2.5로 업그레이드 후, FortiManager는 FortiGate 인증서에 FortiGate 시리얼 번호가 CN 또는 SAN에 포함되어야 한다고 요구합니다. 일치하는 시리얼 번호가 없으면 터널 연결이 실패할 수 있습니다. 터널 연결이 실패하면 관리자는 사용자 지정 인증서를 재발급하여 시리얼 번호를 포함시켜야 합니다. 대안으로, FortiManager 7.2.5에서는 이 검증을 비활성화할 수 있는 새로운 CLI 명령어를 제공합니다. Fortinet은 검증을 활성화 상태로 유지할 것을 권장합니다. bash 코드 복사 config system global fgfm-peercert-withoutsn set fgfm-peercert-withoutsn 설정이 비활성화된 상태(기본값)에서는 FortiGate 장치의 인증서에 FortiGate 시리얼 번호가 CN 또는 SAN에 포함되어야 합니다. fgfm-peercert-withoutsn 설정이 활성화된 경우, FortiManager는 CN 또는 SAN에 시리얼 번호를 포함하지 않아도 검증을 수행하지 않습니다. 구성 백업 시 암호 필요 FortiManager 7.2.5부터 구성 백업 파일이 자동으로 암호화되며, 암호를 설정해야 합니다. 이전 버전에서는 암호화 및 암호 설정이 선택 사항이었습니다. 자세한 내용은 FortiManager 관리 가이드를 참조하세요. SSO 사용자에 대한 추가 구성 필요 7.2.5부터는 와일드카드 SSO 사용자로 선언된 FortiManager 사용자에 대해 추가 구성이 필요합니다. 관리자를 와일드카드 SSO 사용자로 구성할 때, SAML IdP에서 ADOM 목록 및/또는 ...

FortiAP-W2 6.4.0 릴리스에서 처음 지원된 새로운 Wi-Fi 6/802.11ax 모델 FAP-431F, FAP-433F 및 FAP-231F는 지속적인 지원을 위해 FortiAP 6.4.3 및 이후 버전으로 이동되었습니다. FAP-221E/223E 장치는 HPE PoE 스위치와 연결되었을 때 특정 업그레이드 문제를 겪을 수 있습니다 (버그 ID 643738 참조). 이 스위치는 120초 이상 LLDP 응답을 받지 못하면 연결된 FAP 장치를 일방적으로 리셋하거나 전원을 순환시킬 수 있습니다. HPE PoE 스위치를 사용하는 경우, FAP 장치를 업그레이드하기 전에 스위치에서 LLDP 기능을 비활성화해야 합니다. 모든 FAP 장치가 펌웨어 버전 6.4.3(또는 이후 버전)으로 성공적으로 업그레이드된 후, 스위치에서 LLDP 기능을 다시 활성화할 수 있습니다.

FortiGate 이중화(HA)방법 중 FGSP에 대해 알아보겠습니다.  일반적으로 A-B일 경우 FGCP를 구성하지만, A-A 일 때는 FGSP를 고려하게 됩니다. 1. FGSP(Session Life Support Protocol) 독립형 FortiGates 또는 FGCP 클러스터는 트래픽이 업스트림 로드 밸런서에 의해 로드 밸런싱되고 다운스트림 FortiGates에 의해 스캔되는 네트워크에서 FortiGate Session Life Support Protocol(FGSP)을 사용하여 로드 밸런싱 구성에 통합될 수 있습니다. FGSP는 IPv4 및 IPv6 TCP, SCTP, UDP, ICMP, 기대, RSSO 인증 사용자 로그인 정보 및 NAT 세션의 세션 동기화를 수행하여 모든 엔터티에서 세션 테이블을 동기화된 상태로 유지할 수 있습니다. FortiGates 중 하나가 실패하면 업스트림 로드 밸런서는 실패한 멤버를 감지하고 세션 분배를 중단해야 합니다. 세션 장애 조치가 발생하고 활성 세션은 여전히 작동 중인 피어로 장애 조치됩니다. 세션이 동기화되므로 트래픽은 데이터 손실 없이 새 피어에서 계속 흐릅니다. FGSP의 FortiGates는 트래픽을 처리하고 세션을 동기화하는 피어로 작동합니다. FGSP 배포에는 2~16개의 독립형 FortiGates 또는 각각 2개의 멤버로 구성된 2~16개의 FortiGate FGCP 클러스터가 포함될 수 있습니다. FortiGates를 더 추가하면 모든 FortiGates를 동기화하는 데 필요한 CPU와 메모리가 증가하고 네트워크 동기화 트래픽이 증가합니다. 멤버 수를 초과하는 것은 권장되지 않으며 전반적인 성능이 저하될 수 있습니다. 기본적으로 FGSP는 모든 IPv4 및 IPv6 TCP 세션과 IPsec 터널을 동기화합니다. 선택적으로 필터를 추가하여 특정 소스 및 대상 주소, 소스 및 대상 인터페이스 또는 서비스의 패킷을 동기화하는 등 어떤 세션이 동기화되는지 제어할 수 있습니다. https://docs.fortinet.com/document/fortigate/7.6.0/administration-guide/668583/fgsp   FGCP는 장비가 1대인 것처럼 동작하기 위해 각 Interface까지 동기화되지만, FGSP의 경우에는 고유의 Interface IP를 가지고 있게 됩니다.(즉 FortiGate를 바라보는 장비에서 GW가 2개로 보이게 됩니다.) 때문에 상하단에서 LB를 이용해 분산처리 작업이 필요하게 됩니다. *추가로 v7.0까지는 ‘config system cluster-sync’ 와 ‘config system standalone-cluster’가 별도로 분리되어 있었지만, v7.2.1부터는 합쳐지게 되었습니다. https://docs.fortinet.com/document/fortigate/7.2.0/new-features/71883/consolidate-fgsp-settings-7-2-1 =============================================================================== FGSP 기본 config https://docs.fortinet.com/document/fortigate/7.6.0/administration-guide/869218/fgsp-basic-peer-setup   1번 장비 config system standalone-cluster      config cluster-peer          edit 1              set peerip 10.10.10.2          next      end     set standalone-group-id 1      set group-member-id 1 end   2번장비 config system standalone-cluster      config cluster-peer          edit 1              set peeri...

첨부파일을 참고하세요

Special notices 1. IPsec phase 1 interface type cannot be changed after it is configured  FortiOS 7.2.0 및 이후 버전에서는 IPsec 단계 1 인터페이스 유형을 구성 후 변경할 수 없습니다. 이는 트래픽을 전달하기 위해 IPsec 터널과 경로를 일치시키는 데 사용되는 터널 ID 매개 변수(tun_id) 때문입니다. IPsec 단계 1 인터페이스 유형을 변경해야 하는 경우 새 인터페이스를 구성해야 합니다. 2. IP pools and VIPs are now considered local addresses  FortiOS 7.2.6 및 이후 버전에서는 IP 풀과 VIP로 사용되는 모든 IP 주소가 이러한 외부 IP 주소에 대한 ARP 요청에 응답하도록 설정된 경우(기본적으로 set arp-reply enable) 로컬 IP 주소로 간주됩니다. 이러한 경우 FortiGate는 해당 IP 주소의 목적지로 간주되며, 애플리케이션 계층에서 응답 트래픽을 받을 수 있습니다. 이전 FortiOS 7.2.0~7.2.5 버전에서는 그렇지 않았습니다. FortiOS의 IP 풀 및 VIP 동작 변경 내역에 대한 자세한 내용 및 관련 FortiOS 버전에 대한 문제 및 해결 방법에 대해서는 기술 팁을 참조하십시오 3. FortiGate 6000 and 7000 incompatibilities and limitations See the following links for information about FortiGate 6000 and 7000 limitations and incompatibiliti  4. Hyperscale incompatibilities and limitations  FortiOS 7.2.9 기능과 관련된 제한 사항 및 호환성 문제에 대한 자세한 내용은 하이퍼스케일 방화벽 가이드에서 확인할 수 있습니다. 하이퍼스케일 방화벽 가이드 5. Remove support for SHA-1 certificate used for web management interface (GUI)  FortiOS 7.2.5부터 사용자는 웹 관리 인터페이스에서 내장된 Fortinet_GUI_Server 인증서나 SHA-256 이상의 인증서를 사용해야 합니다. 예를 들어:  config system global  set admin-server-cert Fortinet_GUI_Server  end 6. SMB drive mapping with ZTNA access proxy  FortiOS 7.2.5 및 이후 버전에서는 TCP 포워딩을 사용하는 액세스 프록시로 구성된 ZTNA를 통해 Windows PC에서 SMB 드라이브 매핑을 수행한 경우, PC가 재부팅된 후 액세스 프록시가 FQDN으로 구성된 경우 SMB 드라이브에 접근할 수 없습니다. SMB 트래픽을 위해 IP로 구성된 경우에는 동일한 문제가 발생하지 않습니다. 이 문제를 해결하는 한 가지 방법은 Windows 자격 증명 관리자에 도메인\사용자 이름 형식으로 자격 증명을 입력하는 것입니다. 또 다른 방법은 KDC 프록시를 활용하여 원격 사용자에게 TGT(케르베로스) 티켓을 발급하는 것입니다. 이 방법을 통해 자격 증명 관리자에 대한 응답이 더 이상 필요하지 않으며, 사용자가 DC에 대해 인증됩니다. 자세한 내용은 ZTNA 액세스 프록시와 KDC를 통한 공유 드라이브 액세스를 참조하십시오. 7. Console error message when FortiGate 40xF boots  FortiOS 7.2.5 및 이후 버전에서 BIOS 버전 06000100을 사용하는 FortiGate 400F 및 401F 장치가 부팅될 때 콘솔에 오류 메시지가 표시됩니다. 콘솔에 "Write I2C bus:3 addr:0xe2 reg:0x00 data:0x00 ret:-121." 메시지가 표시되며, FortiGate는 트랜시버 정보를...