Spätná väzba k reportu

Autentizovanému vzdialenému útočníkovi je v FortiSOAR umožnené bruteforce útokom zistiť heslo iného používateľa zasielaním špeciálne vytvorených HTTP požiadaviek [1].

Zraniteľnosť sa nachádza v produkte:

• FortiSOAR; >=7.4.0, <7.4.4; >=7, <7.3.3;

CVSS: CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

• CVE-2024-45327 na cve.org, NVD
• CWE-285: Improper Authorization na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 10. 9. 2024.

Neautentizovanému vzdialenému útočníkovi je v FortiClientEMS a FortiClientEMS Cloud umožnené neoprávnene vykonávať niektoré operácie nad databázou [2].

Zraniteľnosť sa nachádza v produktoch:

• FortiClientEMS; >=7.2, <7.2.5; >=7, <7.0.13;
• FortiClientEMS Cloud; >=7.2, <7.2.5; >=7, <7.0.13;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L/E:P/RL:X/RC:C

Viac informácií:

• CVE-2024-33508 na cve.org, NVD
• CWE-77: Improper Neutralization of Special Elements used in a Command ('Command Injection') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 10. 9. 2024.

Autentizovanému vzdialenému útočníkovi je v FortiClientEMS umožnené neoprávnene čítať a odstraňovať ľubovolné súbory zo systému [3].

Zraniteľnosť sa nachádza v produkte:

• FortiClientEMS; >=1.2.2, <1.2.5; >=6, <7.2.5;

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:L/A:H/E:H/RL:U/RC:C

Viac informácií:

• CVE-2024-21753 na cve.org, NVD
• CWE-23: Relative Path Traversal na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 10. 9. 2024.

Neautentizovanému vzdialenému útočníkovi je v FortiClient umožnené neoprávnene zobrazovať komunikáciu medzi FortiClient a FortiGate [4].

Zraniteľnosť sa nachádza v produktoch:

• FortiClientLinux; >=7.2, <7.2.1; >=7, <7.0.12
• FortiClientMac; >=7.2, <7.2.5; >=7, <7.0.12
• FortiClientWindows; >=7.2, <7.2.3; >=7, <7.0.12

CVSS: CVSS:3.1/AV:A/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N/E:P/RL:U/RC:C

Viac informácií:

• CVE-2024-31489 na cve.org, NVD
• CWE-295: Improper Certificate Validation na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 10. 9. 2024.

Autentizovanému vzdialenému útočníkovi s právami na čítanie je v FortiSandbox umožnené neoprávnene pristupovať k citlivým informáciám zasielaním špeciálne vytvorených HTTP požiadaviek [5].

Zraniteľnosť sa nachádza v produkte:

• FortiSandbox; >=4.4.0, <4.4.5; >=3.1.5, <4.2.7;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N/E:F/RL:X/RC:X

Viac informácií:

• CVE-2024-31490 na cve.org, NVD
• CWE-200: Exposure of Sensitive Information to an Unauthorized Actor na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 10. 9. 2024.

Autentizovanému vzdialenému útočníkovi je v FortiAnalyzer a FortiManager umožnené neoprávnene pristupovať k informáciám zasielaním špeciálne vytvorených požiadaviek [6].

Zraniteľnosť sa nachádza v produktoch:

• FortiAnalyzer; >=7.4.0, <7.4.1, >=7.2.0, <7.2.5; >=7, >=7, <7.1; >=6.4, <6.5; >=6.2, <6.3;
• FortiManager; >=7.4.0, <7.4.1; >=7.2.0, <7.2.5; >=7, >=7, <7.1; >=6.4, <6.5; >=6.2, <6.3;
• FortiAnalyzer-BigData; >=7.2, <7.2.6;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:N/A:N/E:P/RL:X/RC:X

Viac informácií:

• CVE-2023-44254 na cve.org, NVD
• CWE-639: Authorization Bypass Through User-Controlled Key na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 10. 9. 2024.

Neautentizovanému vzdialenému útočníkovi je v FortiADC za určitých okolností umožnené získať šifrovaný a podpísaný počiatočný súbor cookie používateľa [7].

Zraniteľnosť sa nachádza v produkte:

• FortiADC; >=7, <7.4.5; >=6, <6.2;

CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N/E:P/RL:U/RC:R

Viac informácií:

• CVE-2024-36511 na cve.org, NVD
• CWE-358: Improperly Implemented Security Check for Standard na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 10. 9. 2024.

Autentizovanému vzdialenému útočníkovi s administrátorskými a REST API právami je umožnené v FortiEDR Manager pristupovať k informáciám z logov z iných organizácií [8].

Zraniteľnosť sa nachádza v produkte:

• FortiEDR Manager; >=6, <6.1; >=6.2, <6.2.2;

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:L/I:N/A:N/E:P/RL:X/RC:R

Viac informácií:

• CVE-2024-45323 na cve.org, NVD
• CWE-284: Improper Access Control na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 10. 9. 2024.

Neautentizovanému fyzickému útočníkovi je v FortiClientiOS umožnené pristupovať k textovej podobe hesiel [9].

Zraniteľnosť sa nachádza v produkte:

• FortiClientiOS; >=6, <7; >6.2, <6.3; >=6.4, <6.5; >=7, <7.1; >=7.2, <7.3;

CVSS: CVSS:3.1/AV:P/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N/E:F/RL:X/RC:R

Viac informácií:

• CVE-2024-35282 na cve.org, NVD
• CWE-316: Cleartext Storage of Sensitive Information in Memory na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 10. 9. 2024.