Spätná väzba k reportu

Autentizovanému vzdialenému útočníkovi s oprávnením na čítanie je vo FortiSandbox prostredníctvom upravených požiadaviek umožnené vykonávať neautorizované príkazy [1].

Zraniteľnosť sa nachádza v produkte:

• *:FortiSandbox; >=5.0.0, <5.0.1; >=4.4.0, <4.4.7; >=4.2.0, <4.2.8; >=4.0.0, <4.0.6; >=3.0.0, <4.0.6

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

• CVE-2024-52961 na cve.org, NVD
• CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 11. 3. 2025.

Autentizovanému vzdialenému útočníkovi s oprávnením na čítanie na úrovni administrátora a prístupom k CLI je prostredníctvom špeciálne upravených príkazov CLI umožnené vykonať neautorizovaný kód [3].

Zraniteľnosť sa nachádza v produkte:

• *:FortiIsolator; >=2.4.0, <2.4.6

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

• CVE-2024-55590 na cve.org, NVD
• CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 11. 3. 2025.

Neautentizovanému vzdialenému útočníkovi je vo FortiADC GUI pomocou špeciálne vytvorených HTTP alebo HTTPS požiadaviek umožnené vykonať XSS útok [4].

Zraniteľnosť sa nachádza v produkte:

• *:FortiADC; >=7.4.0, <7.4.1; >=7.2.0, <7.2.2; >=7.1.0, <7.1.4; =7.0; =6.2; =6.1; =6.0; =5.4; =5.3

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Viac informácií:

• CVE-2023-37933 na cve.org, NVD
• CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 11. 3. 2025.

Neautentizovanému vzdialenému útočníkovi je vo FortiSIEM prostredníctvom upravených API požiadaviek umožnené prečítať heslo k databáze [5].

Zraniteľnosť sa nachádza v produkte:

• *:FortiSIEM; >=6.7.0, <6.7.5; >=6.6.0, <6.6.4; >=6.5.0, <6.5.2; >=6.4.0, <6.4.3; <=6.3

CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

• CVE-2023-40723 na cve.org, NVD
• CWE-200: Exposure of Sensitive Information to an Unauthorized Actor na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 11. 3. 2025.

Autentizovanému lokálnemu útočníkovi je vo FortiSandbox umožnené spúšťať CLI príkazy prostredníctvom konzolového menu v GUI s vyššími oprávneniami [2].

Zraniteľnosť sa nachádza v produkte:

• *:FortiSandbox; >=4.4.0, <4.4.7

CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

• CVE-2024-45328 na cve.org, NVD
• CWE-863: Incorrect Authorization na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 11. 3. 2025.

Neautentizovanému vzdialenému útočníkovi je vo FortiOS a FortiProxy prostredníctvom škodlivého Samba servera umožnené vykonať XSS útok [6].

Zraniteľnosť sa nachádza v produktoch:

• *:FortiOS; >=7.4.0, <7.4.4; >=7.2.0, <7.2.8; >=7.0.0, <7.0.14; >=6.4, <7.0.14
• *:FortiProxy; >=7.4.0, <7.4.4; >=7.2.0, <7.2.10; >=7.0.0, <7.0.17

CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H

Viac informácií:

• CVE-2024-26006 na cve.org, NVD
• CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 14. 3. 2025.

Neautentizovanému vzdialenému útočníkovi je vo FortiNDR prostredníctvom špeciálne vytvorených HTTP GET požiadaviek umožnené vykonávať neautorizované akcie [9].

Zraniteľnosť sa nachádza v produkte:

• *:FortiNDR; =7.4.0, <7.4.1; >=7.2.0, <7.2.2; >=7.1.0, <7.1.2; >=7.0.0, <7.0.6; =1.5

CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H

Viac informácií:

• CVE-2023-48790 na cve.org, NVD
• CWE-352: Cross-Site Request Forgery (CSRF) na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 11. 3. 2025.

Neautentizovanému vzdialenému útočníkovi je vo FortiOS, FortiProxy, FortiPAM, FortiSRA a FortiWeb prostredníctvom špeciálne upravených HTTP alebo HTTPS príkazov umožnené spúšťať neautorizovaný kód či príkazy [7].

Zraniteľnosť sa nachádza v produktoch:

• *:FortiOS; >=7.4.0, <7.4.5; >=7.2.0, <7.2.10; >=7.0.0, <7.0.16; >=6.4.0, <6.4.16; =6.2
• *:FortiPAM; >=1.4.0, <1.4.3; >=1.3.0, <1.3.2; =1.2; =1.1; =1.0
• *:FortiProxy; >=7.6.0, <7.6.1; >=7.4.0, <7.4.7; >=7.2.0, <7.2.13; >=7.0.0, <7.0.20;
• *:FortiSRA; >=1.4.0, <1.4.3
• *:FortiWeb; >=7.6.0, <7.6.1; >=7.4.0, <7.4.6; >=7.2.0, <7.2.11; >=7.0.0, <7.0.11

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

• CVE-2024-45324 na cve.org, NVD
• CWE-134: Use of Externally-Controlled Format String na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 11. 3. 2025.

Autentizovanému vzdialenému útočníkovi je vo FortiSandbox prostredníctvom špeciálne upravených požiadaviek umožnené spúšťať neautorizované príkazy [10].

Zraniteľnosť sa nachádza v produkte:

• *:FortiSandbox; >=4.4.0, <4.4.6; =4.2; =4.0; =3.2

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

• CVE-2024-54018 na cve.org, NVD
• CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 11. 3. 2025.

Autentizovanému vzdialenému útočníkovi s oprávnením na zápis do Security Fabric je pripojením cieľového FortiGate k škodlivému upstream FortiGate umožnené zvýšiť svoje oprávnenie na úroveň super-admin [8].

Zraniteľnosť sa nachádza v produkte:

• *:FortiOS; >=7.6.0, <7.6.1; >=7.4.0, <7.4.5; >=7.2.0, <7.2.10; >=7.0.0, <7.0.16; =6.4

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

• CVE-2024-40591 na cve.org, NVD
• CWE-266: Incorrect Privilege Assignment na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 13. 3. 2025.