Tento report byl přeložen pomocí AI; překlad zatím nikdo nezkontroloval. Původní jazyk: slovenština.

[TLP:CLEAR] Fortinet opravuje 9 zranitelností v různých produktech

Fortinet opravuje 9 zranitelností v různých produktech. Produkty a jejich opravené verze: FortiWebManager - 7.2.1, 7.0.5, 6.3.1, 6.2.5 [1] FortiAuthenticator - 6.6.1, 6.5.4 [2] FortiWeb - 7.4.3, 7.2.8 [3][6] FortiPortal - 6.0.15 [4] FortiSOAR - 7.3.1[5]

FortiWebManager - neoprávněné akce
CVSS 8.8 (High)

Autentizovanému vzdálenému útočníkovi s právy pro čtení je ve FortiWebManager umožněno provádět neoprávněné akce pomocí HTTP požadavků nebo pomocí příkazového řádku [1].

Zranitelnost se nachází v produktu:

  • FortiWebManager; >=7.2.0, <7.2.1; >=7.0.0, <7.0.5; >=6.3.0, <6.3.1; >=6.2.3, <6.2.5; ==6.0.2;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H/E:F

Více informací:

Zranitelnost byla veřejně oznámena 14. 5. 2024.

FortiAuthenticator - přesměrování na libovolnou webovou stránku (CVE-2024-23664)
CVSS 6.1 (Medium)

Neautentizovanému vzdálenému útočníkovi je ve FortiAuthenticator umožněno přesměrovávat oběti útoku na potenciálně škodlivé webové stránky pomocí speciálně vytvořených URL [2].

Zranitelnost se nachází v produktu:

  • FortiAuthenticator; >=6.6.0, <6.6.1; >=6.5.0, <6.5.4; >=6.4.0, <6.5.0;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N/E:P/RL:U/RC:C

Více informací:

Zranitelnost byla veřejně oznámena 14. 6. 2024.

FortiWeb - neoprávněné operace s ADOM (CVE-2024-23665)
CVSS 5.9 (Medium)

Autentizovanému vzdálenému útočníkovi je ve FortiWeb umožněno neoprávněně provádět operace s administrátorskými doménami pomocí speciálně vytvořených požadavků [3].

Zranitelnost se nachází v produktu:

  • FortiWeb; >=7.4.0, <7.4.3; >=7.2.0, <7.2.8; >=7.0.0, <7.1.0; >=6.4.0, <6.5.0; >=6.3.0, <6.4.0;

CVSS: CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:L/A:N/E:P/RL:X/RC:C

Více informací:

Zranitelnost byla veřejně oznámena 14. 5. 2024.

FortiPortal - únik informací (CVE-2023-48789)
CVSS 4.3 (Medium)

Autentizovanému vzdálenému útočníkovi s právy zákazníka je ve FortiPortal umožněno neoprávněně přistupovat k informacím o jiných zákaznících pomocí speciálně vytvořených HTTP požadavků [4].

Zranitelnost se nachází v produktu:

  • FortiPortal; >=6.0.0, <6.0.15;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N/E:P/RL:X/RC:X

Více informací:

Zranitelnost byla veřejně oznámena 14. 5. 2024.

FortiSOAR - únik hesel (CVE-2024-31493)
CVSS 6.5 (Medium)

Autentizovanému vzdálenému útočníkovi je ve FortiSOAR potenciálně umožněno číst textová hesla z konektorů pomocí HTTP požadavků [5].

Zranitelnost se nachází v produktu:

  • FortiSOAR; >=7.3.0, <7.3.1;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N/E:U

Více informací:

Zranitelnost byla veřejně oznámena 14. 5. 2024.

FortiWeb - únik hesel (CVE-2024-23107)
CVSS 5.5 (Medium)

Autentizovanému lokálnímu útočníkovi je ve FortiWeb umožněno neoprávněně zobrazovat hashe hesel pomocí příkazového řádku nebo HTTP požadavků [6].

Zranitelnost se nachází v produktu:

  • FortiWeb; >=7.4.0, <7.4.1; >=7.2.0, <7.2.5; >=7.0.0, <7.0.9;

CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N/E:P/RL:X/RC:C

Více informací:

Zranitelnost byla veřejně oznámena 14. 5. 2024.

Za CESNET, z.s.p.o. Martin Krajči dne 4. 6. 2024.

CESNET, z.s.p.o. Logo