Fortinet VPN Tasarım Hatası Büyük Güvenlik Açığına Yol Açtı: Brute-Force Ataklarının Tespiti Engelleniyor

İnternet ortamında kimlik bilgilerinizi gizlemek için kullanabileceğiniz VPN'lerden Fortinet, yazılımındaki bir hata sebebiyle ciddi güvenlik endişesi yaratıyor.

Fortinet VPN sunucularındaki bir tasarım hatası, brute-force saldırılarında doğrulanan giriş bilgilerini gizleyerek güvenlik ekiplerini yanıltıyor. Bu hata, yalnızca başarısız girişimleri kaydediyor ve saldırganların başarılı girişleri fark edilmeden doğrulamasına izin veriyor.

YAZILIM

En İyi Ücretsiz VPN Programları (PC/Mac/Android/iOS)

Mac, Android, iOS ve PC için en iyi ücretsiz VPN programları neler? Bu yazıda herhangi bir ücret ödemeden kullanabileceğiniz başarılı programları sıraladık.

Başarılı Girişler Loglar'da Kayıt Altına Alınmıyor

Fortinet VPN sunucuları, giriş işlemleri için iki aşamalı bir süreç kullanıyor: kimlik doğrulama ve yetkilendirme. Pentera güvenlik araştırmacıları, başarılı girişlerin yalnızca yetkilendirme aşamasında kaydedildiğini, başarısız girişlerin ise kimlik doğrulama aşamasında loglandığını keşfetti.

Saldırganlar, işlemi kimlik doğrulama aşamasında durdurarak başarılı girişlerin kaydedilmesini engelleyebiliyor. Araştırmacılar ise Burp Suite aracını kullanarak istemci ve sunucu arasındaki etkileşimleri analiz etmeleri sonrasında sunucunun HTTPS yanıtında, geçerli giriş bilgilerini belirten “ret=1” değeri bulunduğunu tespit ettiler. İşlem bu aşamada durdurulduğunda başarılı girişler loglanmıyor.

Fortinet Bunu Güvenlik Açığı Olarak Saymadı

Pentera, bu hatayı Fortinet'e bildirmesine rağmen şirket bu sorunu bir güvenlik açığı olarak değerlendirmedi. Yani bu noktada Fortinet'in bu sorunu çözmek için bir planı olup olmadığı belirsiz. Pentera ise bu tasarım hatasını kullanan bir script yayınlayarak, organizasyonların VPN güvenlik önlemlerini gözden geçirmesi gerektiğini vurguladı.

TEKNOLOJİ

Windows'un Yeni Güvenlik Açığı, Rus Hacker'lara 'Ekmek' Kapısı Oldu

Yeni NTLM güvenlik açığı, Rus hackerlar tarafından Uzaktan Erişim Truva Atı (RAT) yazılımını dağıtmak için kullanılıyor.