Spätná väzba k reportu

Neautentizovanému vzdialenému útočníkovi je v FortiOS a FortiProxy umožnené zasielaním špeciálne vytvorených požiadaviek obísť autentizáciu a získať tak oprávnenia super-administrátora. Ako dočasnú opravu je možné zakázať webové administrátorské rozhranie alebo obmedziť prístup iba na dôveryhodné IP adresy. Podrobnosti k dočasnej oprave a zoznam IoC je možné nájsť na [1].

Zraniteľnosť sa nachádza v produktoch:

• *:FortiOS; >=7.0.0, <=7.0.16;
• *:FortiProxy; >=7.2.0, <=7.2.12; >=7.0.0, <=7.0.19;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H/E:H/RL:W/RC:C

Viac informácií:

• CVE-2024-55591 na cve.org, NVD
• CVE-2025-24472 na cve.org, NVD
• CWE-288: Authentication Bypass Using an Alternate Path or Channel na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 11. 2. 2025.

Neautentizovanému vzdialenému útočníkovi je v FortiPortal pomocou špeciálne vytvorených HTTP požiadaviek umožnené pristupovať k zdrojovým kódom [2].

Zraniteľnosť sa nachádza v produkte:

• *:FortiPortal; >=7.4.0, <=7.4.2; >=7.2.0, <=7.2.6; >=7.0.0, <=7.0.11;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N/E:P/RL:X/RC:C

Viac informácií:

• CVE-2025-24470 na cve.org, NVD
• CWE-41: Information disclosure na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 11. 2. 2025.

Autentizovanému vzdialenému útočníkovi s administrátorskými oprávneniami je v FortiWeb umožnené pomocou API rozhrania vykonávať príkazy v operačnom systéme [3].

Zraniteľnosť sa nachádza v produkte:

• *:FortiWeb; ==7.6.0; >=7.4.0, <=7.4.5; >=7.2, <7.3; >=7.0, <7.1;

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H/E:P/RL:X/RC:C

Viac informácií:

• CVE-2024-50567 na cve.org, NVD
• CVE-2024-50569 na cve.org, NVD
• CWE-78: Execute unauthorized code or commands na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 11. 2. 2025.

Autentizovanému vzdialenému útočníkovi je v FortiSandbox umožnené vykonať XSS útok [4]

Zraniteľnosť sa nachádza v produkte:

• FortiSandbox; >=4.4.0, <=4.4.4; >=4.2.0, <=4.2.6; >=4.0.0, <=4.0.4; >=3.2, <3.3; >=3.1, <3.2; >=3.0, <3.1;

CVSS: CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:U/C:H/I:H/A:H/E:F/RL:X/RC:X

Viac informácií:

• CVE-2024-27781 na cve.org, NVD
• CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 11. 2. 2025.

Autentizovanému vzdialenému útočníkovi je v FortiAnalyzer a FortiManager umožnené zasielaním špeciálne vytvorených HTTP požiadaviek vykonávať príkazy v operačnom systéme [5].

Zraniteľnosť sa nachádza v produktoch:

• *: FortiAnalyzer; >=7.4.0, <7.4.4; >=7.2.0, <7.2.6; >=7.0, <7.1; >=6.4, <6.5; >=6.2.2, <6.3;
• *: FortiAnalyzer Cloud; >=7.4.1, <7.4.4; >=7.2.1, <7.2.6; >=7.0, <7.1; >=6.4, <6.5;
• *: FortiAnalyzer-BigData; ==7.4.0; >=7.2.0, <7.2.8; >=7.0, <7.1; >=6.4, <6.5; >=6.2, <6.3;
• *: FortiManager; >=7.4.0, <7.4.4; >=7.2.0, <7.2.6; >=7.0, <7.1; >=6.4, <6.5; >=6.2.2, <6.3;
• *: FortiManager Cloud; >=7.4.1, <7.4.4; >=7.2.1, <7.2.6; >=7.0, <7.1; >=6.4, <6.5;

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H/E:P/RL:X/RC:C

Viac informácií:

• CVE-2024-40584 na cve.org, NVD
• CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 11. 2. 2025.

Autentizovanému vzdialenému útočníkovi je v FortiSIEM umožnené vykonať XSS útok [6].

Zraniteľnosť sa nachádza v produkte:

• *: FortiSIEM; >=7.1, <7.2; >=7.0, <7.1; >=6.7, <6.8;

CVSS: CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:U/C:N/I:L/A:N/E:P/RL:X/RC:X

Viac informácií:

• CVE-2024-27780 na cve.org, NVD
• CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 11. 2. 2025.

Autentizovanému lokálnemu útočníkovi je v FortiOS, FortiSwitchManager, FortiProxy a FortiPAM umožnené zasielaním špeciálne vytvorených požiadaviek určených pre príkazový riadok neoprávnene vykonávať príkazy [7].

Zraniteľnosť sa nachádza v produktoch:

• *: FortiOS; >=7.4, <7.5; >=7.2.0, <7.2.7; >=7.0.0, <7.0.14; >=6.4, <6.5; >=6.2, <6.3;
• *: FortiSwitchManager; >=7.2.0, <7.2.3; >=7.0.0, <7.0.3;
• *: FortiProxy; >=7.4.0, <7.5; >=7.2.0, <7.2.7; >=7.0.0, <7.0.15; >=2.0, <2.1; >=1.2, <1.3;
• *: FortiPAM; >=1.1.0, <1.1.3; >=1.0, <1.1;

CVSS: CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H/E:P/RL:X/RC:C

Viac informácií:

• CVE-2023-40721 na cve.org, NVD
• CWE-134: Use of Externally-Controlled Format String na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 11. 2. 2025.