Tento report byl přeložen pomocí AI; překlad zatím nikdo nezkontroloval. Původní jazyk: slovenština.

[TLP:CLEAR] Fortinet opravuje 5 zranitelností v různých produktech

Fortinet opravuje 5 zranitelností v různých produktech. Nejzávažnější zranitelnosti jsou uvedeny níže. Jednotlivé produkty a jejich opravené verze: FortiOS - 7.6.3, 7.4.8, 7.2.12 [1][3][4] FortiProxy - 7.6.2, 7.4.9 [1][3] FortiIsolator - 2.4.5 [2] FortiSandbox - 4.4.5, 4.2.7 [2] FortiAnalyzer - 7.6.2, 7.4.7 [5] FortiAnalyzer Cloud - 7.4.7 [5] FortiManager - 7.6.2, 7.4.7 [5] FortiManager Cloud - 7.4.7 [5]

FortiOS, FortiProxy - nesprávná autentizace (CVE-2024-52965)
CVSS 7.2 (High)

Neautentizovanému vzdálenému útočníkovi je umožněno autentizovat se pomocí API klíče a neplatného certifikátu [1].

Zranitelnost se nachází v produktech:

  • FortiOS; >=7.0, <7.0.17; >=7.2, <7.2.11; >=7.4, <7.4.6; >=7.6, <7.6.3;
  • FortiProxy; >=7.0, <7.0.21; >=7.2, <7.2.14; >=7.4, <7.4.9; >=7.6, <7.6.2;

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H/E:P/RL:X/RC:C

Více informací:

Zranitelnost byla veřejně oznámena 8. 7. 2025.

FortiIsolator, FortiSandbox - nedostatečné vypršení platnosti relace (CVE-2024-27779)
CVSS 6.7 (Medium)

Neautentizovanému vzdálenému útočníkovi s cookie relace účtu admin je umožněno tento účet využívat i po jeho odstranění [2].

Zranitelnost se nachází v produktech:

  • FortiIsolator; >= 1.2, <1.3; >=2.0, <2.4.5;
  • FortiSandbox; >=3.2, <3.3; >=4.0, <4.1; >=4.2, <4.2.7; >=4.4, <4.4.5;

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:L/E:P/RL:X/RC:C

Více informací:

Zranitelnost byla veřejně oznámena 8. 7. 2025.

FortiOS, FortiProxy - obejití DNS filtru (CVE-2024-55599)
CVSS 5.3 (Medium)

Neautentizovanému vzdálenému útočníkovi je umožněno obejít DNS filtr. Pro zneužití zranitelnosti je nutné, aby oběť útoku přistupovala ke škodlivé doméně ze zařízení od Apple [3].

Zranitelnost se nachází v produktech:

  • FortiProxy; >=7.0, <7.1; >=7.2, <7.3; >=7.4, <7.4.9; >=7.6, <7.6.2;
  • FortiOS; >=6.4, <6.5; >=7.0, <7.1; >=7.2, <7.2.11; >=7.4.0, <7.4.8; >=7.6, <7.6.1;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N/E:U/RL:X/RC:X

Více informací:

Zranitelnost byla veřejně oznámena 8. 7. 2025.

FortiAnalyzer (Cloud), FortiManager (Cloud) - SQL injection (CVE-2025-244474)
CVSS 2.7 (Low)

Autentizovanému vzdálenému útočníkovi je umožněno neoprávněně přistupovat k informacím z databáze zasíláním speciálně vytvořených požadavků [5].

Zranitelnost se nachází v produktech:

  • FortiAnalyzer; >=6.4, <6.5; >=7.0, <7.1; >=7.2, <7.3; >=7.4, <7.4.7; >=7.6, <7.6.2;
  • FortiAnalyzer Cloud; >=6.4, <6.5; >=7.0, <7.1; >=7.2, <7.3; >=7.4, <7.4.7;
  • FortiManager; >=6.4, <6.5; >=7.0, <7.1; >=7.2, <7.3; >=7.4, <7.4.7; >=7.6, <7.6.2;
  • FortiManager Cloud; >=6.4, <6.5; >=7.0, <7.1; >=7.2, <7.3; >=7.4, <7.4.7;

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:L/I:N/A:N/E:P/RL:X/RC:C

Více informací:

  • CVE-2025-244474 na cve.org, NVD
  • CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 8. 7. 2025.

Za CESNET, z.s.p.o. Martin Krajči dne 9. 7. 2025.

CESNET, z.s.p.o. Logo