Zpětná vazba k reportu

Neautentizovanému vzdálenému útočníkovi je ve FortiOS a FortiProxy umožněno zasíláním speciálně vytvořených požadavků obejít autentizaci a získat tak oprávnění super-administrátora. Jako dočasnou opravu lze zakázat webové administrátorské rozhraní nebo omezit přístup pouze na důvěryhodné IP adresy. Podrobnosti k dočasné opravě a seznam IoC lze nalézt na [1].

Zranitelnost se nachází v produktech:

• *:FortiOS; >=7.0.0, <=7.0.16;
• *:FortiProxy; >=7.2.0, <=7.2.12; >=7.0.0, <=7.0.19;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H/E:H/RL:W/RC:C

Více informací:

• CVE-2024-55591 na cve.org, NVD
• CVE-2025-24472 na cve.org, NVD
• CWE-288: Authentication Bypass Using an Alternate Path or Channel na cwe.mitre.org

Zranitelnost byla veřejně oznámena 11. 2. 2025.

Neautentizovanému vzdálenému útočníkovi je ve FortiPortal pomocí speciálně vytvořených HTTP požadavků umožněno přistupovat ke zdrojovým kódům [2].

Zranitelnost se nachází v produktu:

• *:FortiPortal; >=7.4.0, <=7.4.2; >=7.2.0, <=7.2.6; >=7.0.0, <=7.0.11;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N/E:P/RL:X/RC:C

Více informací:

• CVE-2025-24470 na cve.org, NVD
• CWE-41: Information disclosure na cwe.mitre.org

Zranitelnost byla veřejně oznámena 11. 2. 2025.

Autentizovanému vzdálenému útočníkovi s administrátorskými oprávněními je ve FortiWeb umožněno pomocí API rozhraní vykonávat příkazy v operačním systému [3].

Zranitelnost se nachází v produktu:

• *:FortiWeb; ==7.6.0; >=7.4.0, <=7.4.5; >=7.2, <7.3; >=7.0, <7.1;

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H/E:P/RL:X/RC:C

Více informací:

• CVE-2024-50567 na cve.org, NVD
• CVE-2024-50569 na cve.org, NVD
• CWE-78: Execute unauthorized code or commands na cwe.mitre.org

Zranitelnost byla veřejně oznámena 11. 2. 2025.

Autentizovanému vzdálenému útočníkovi je ve FortiSandbox umožněno vykonat XSS útok [4]

Zranitelnost se nachází v produktu:

• FortiSandbox; >=4.4.0, <=4.4.4; >=4.2.0, <=4.2.6; >=4.0.0, <=4.0.4; >=3.2, <3.3; >=3.1, <3.2; >=3.0, <3.1;

CVSS: CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:U/C:H/I:H/A:H/E:F/RL:X/RC:X

Více informací:

• CVE-2024-27781 na cve.org, NVD
• CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 11. 2. 2025.

Autentizovanému vzdálenému útočníkovi je ve FortiAnalyzer a FortiManager umožněno zasíláním speciálně vytvořených HTTP požadavků vykonávat příkazy v operačním systému [5].

Zranitelnost se nachází v produktech:

• *: FortiAnalyzer; >=7.4.0, <7.4.4; >=7.2.0, <7.2.6; >=7.0, <7.1; >=6.4, <6.5; >=6.2.2, <6.3;
• *: FortiAnalyzer Cloud; >=7.4.1, <7.4.4; >=7.2.1, <7.2.6; >=7.0, <7.1; >=6.4, <6.5;
• *: FortiAnalyzer-BigData; ==7.4.0; >=7.2.0, <7.2.8; >=7.0, <7.1; >=6.4, <6.5; >=6.2, <6.3;
• *: FortiManager; >=7.4.0, <7.4.4; >=7.2.0, <7.2.6; >=7.0, <7.1; >=6.4, <6.5; >=6.2.2, <6.3;
• *: FortiManager Cloud; >=7.4.1, <7.4.4; >=7.2.1, <7.2.6; >=7.0, <7.1; >=6.4, <6.5;

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H/E:P/RL:X/RC:C

Více informací:

• CVE-2024-40584 na cve.org, NVD
• CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 11. 2. 2025.

Autentizovanému vzdálenému útočníkovi je ve FortiSIEM umožněno vykonat XSS útok [6].

Zranitelnost se nachází v produktu:

• *: FortiSIEM; >=7.1, <7.2; >=7.0, <7.1; >=6.7, <6.8;

CVSS: CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:U/C:N/I:L/A:N/E:P/RL:X/RC:X

Více informací:

• CVE-2024-27780 na cve.org, NVD
• CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 11. 2. 2025.

Autentizovanému lokálnímu útočníkovi je ve FortiOS, FortiSwitchManager, FortiProxy a FortiPAM umožněno zasíláním speciálně vytvořených požadavků určených pro příkazovou řádku neoprávněně vykonávat příkazy [7].

Zranitelnost se nachází v produktech:

• *: FortiOS; >=7.4, <7.5; >=7.2.0, <7.2.7; >=7.0.0, <7.0.14; >=6.4, <6.5; >=6.2, <6.3;
• *: FortiSwitchManager; >=7.2.0, <7.2.3; >=7.0.0, <7.0.3;
• *: FortiProxy; >=7.4.0, <7.5; >=7.2.0, <7.2.7; >=7.0.0, <7.0.15; >=2.0, <2.1; >=1.2, <1.3;
• *: FortiPAM; >=1.1.0, <1.1.3; >=1.0, <1.1;

CVSS: CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H/E:P/RL:X/RC:C

Více informací:

• CVE-2023-40721 na cve.org, NVD
• CWE-134: Use of Externally-Controlled Format String na cwe.mitre.org

Zranitelnost byla veřejně oznámena 11. 2. 2025.