Tento report byl přeložen pomocí AI; překlad zatím nikdo nezkontroloval. Původní jazyk: slovenština.

[TLP:CLEAR] Fortinet opravuje 11 zranitelností v různých produktech

Fortinet opravuje 11 zranitelností v různých produktech. Nejzávažnější jsou uvedeny níže. Jednotlivé produkty a jejich opravené verze: FortiSwitch - 7.6.1, 7.4.5, 7.2.9, 7.0.11, 6.4.15 [1] FortiAnalyzer - 7.6.2, 7.4.6, 7.2.9, 7.0.14, 6.4.15, 6.2.14 [2][8] FortiManager - 7.6.2, 7.4.6, 7.2.9, 7.0.14, 6.4.15, 6.2.14 [2][8] FortiOS - 7.6.0 [2][5][10] FortiProxy - 7.4.3, 7.2.10, 7.0.16 [2] FortiVoice - 7.0.3, 6.4.9 [2] FortiWeb - 7.6.3, 7.4.7 [2][4][7] FortiIsolator - 2.4.7 [3][6] FortiClientEMS - 7.4.3 [9]

FortiSwitch - admin password change (CVE-2024-48887)
CVSS 9.8 (Critical)

Neautentizovaný vzdálený útočník může ve FortiSwitch zasíláním speciálně vytvořených požadavků upravovat admin hesla. Jako dočasnou opravu je možné zakázat HTTP přístup na rozhraní pro administraci, detaily lze nalézt na [1].

Zranitelnost se nachází v produktu:

  • FortiSwitch; ==7.6.0; >=7.4.0, <7.4.5; >=7.2.0, <7.2.9; >=7.0.0, <7.0.11; >=6.4.0, <6.4.15;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H/E:P/RL:X/RC:C

Více informací:

Zranitelnost byla veřejně oznámena 8. 4. 2025.

FortiOS, FortiProxy, FortiManager, FortiAnalyzer, FortiVoice, FortiWeb - management device impersonation (CVE-2024-26013, CVE-2024-50565)
CVSS 7.5 (High)

Neautentizovaný vzdálený útočník v pozici MITM může ve FortiOS, FortiProxy, FortiManager, FortiAnalyzer, FortiVoice a FortiWeb vydávat se za zařízení určené pro management (FortiCloud, FortiManager).

Zranitelnost se nachází v produktech:

  • *: FortiAnalyzer; >=7.4.0, <7.4.3; >=7.2.0, <7.2.5; >=7.0.0, <7.0.12; >=6.4.0, <6.4.15; >=6.2.0, <6.2.14;
  • *: FortiManager; >=7.4.0, <7.4.3; >=7.2.0, <7.2.5; >=7.0.0, <7.0.12; >=6.4.0, <6.4.15; >=6.2.0, <6.2.14;
  • *: FortiOS; >=7.4.0, <7.4.5; >=7.2.0, <7.2.9; >=7.0.0, <7.0.16; >=6.4, <6.5; >=6.2.0, <6.2.17;
  • *: FortiProxy; >=7.4.0, <7.4.3; >=7.2.0, <7.2.10; >=7.0.0, <7.0.16; >=2.0, <2.1;
  • *: FortiVoice; >=7.0.0, <7.0.3; >=6.4.0, <6.4.9; >=6.0, <6.1;
  • *: FortiWeb; >=7.4.0, <7.4.3; >=7.2, <7.3; >=7.0, <7.1;

CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H/E:P/RL:U/RC:C

Více informací:

Zranitelnost byla veřejně oznámena 8. 4. 2025.

FortiIsolator - OS command injection (CVE-2024-54024)
CVSS 7.2 (High)

Autentizovaný vzdálený útočník s právy super-admin a přístupem k CLI může ve FortiIsolator zasíláním speciálně vytvořených HTTP požadavků neoprávněně spouštět příkazy v OS [3].

Zranitelnost se nachází v produktu:

  • *: FortiIsolator; >=2.4.3, <2.4.7;

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H/E:F/RL:X/RC:C

Více informací:

  • CVE-2024-54024 na cve.org, NVD
  • CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 8. 4. 2025.

FortiClientEMS - XSS (CVE-2025-22855)
CVSS 2.7 (Low)

Autentizovaný vzdálený útočník s právy administrátora může provést XSS útok [9].

Zranitelnost se nachází v produktu:

  • *: FortiClientEMS; >=7.4.0, <7.4.2; >=7.2.1, <7.2.10;

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:L/A:N/E:P/RL:X/RC:C

Více informací:

  • CVE-2025-22855 na cve.org, NVD
  • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 8. 4. 2025.

Za CESNET, z.s.p.o. Martin Krajči dne 10. 4. 2025.

CESNET, z.s.p.o. Logo