CVE-2024-23108

Command injection w Fortinet FortiSIEM — nieautoryzowane wykonanie kodu przez API

CVSS 10.0v3.1pub. 2024-02-05upd. 2026-01-14

Podatność typu OS command injection w Fortinet FortiSIEM umożliwia nieuwierzytelnionemu atakującemu zdalne wykonanie dowolnych poleceń systemowych. Ocena CVSS 10.0 wskazuje na krytyczny poziom zagrożenia — atakujący nie wymaga żadnych uprawnień ani interakcji użytkownika.

▸ Pokaż oryginał (EN)

An improper neutralization of special elements used in an os command ('os command injection') vulnerability in Fortinet allows attacker to execute unauthorized code or commands via via crafted API requests.

🤖 Analiza AI

Jak działa

Podatność wynika z nieprawidłowej neutralizacji znaków specjalnych w poleceniach systemu operacyjnego (CWE-78). Atakujący może przesłać specjalnie spreparowane żądania do API FortiSIEM, zawierające złośliwe dane wejściowe, które nie są odpowiednio filtrowane przed przekazaniem do powłoki systemowej. W efekcie wstrzyknięte polecenia są wykonywane z uprawnieniami procesu obsługującego API, bez konieczności uwierzytelnienia.

Skutki

Atakujący może zdalnie wykonać dowolny kod lub polecenia systemowe na serwerze FortiSIEM, co może prowadzić do pełnego przejęcia kontroli nad systemem, wycieku danych oraz naruszenia poufności, integralności i dostępności.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami — szczegółowe informacje o wersjach zawierających poprawkę dostępne są w biuletynie bezpieczeństwa Fortinet pod adresem https://fortiguard.com/psirt/FG-IR-23-130

Kogo dotyczy

Fortinet FortiSIEM — wersje wskazane w referencjach producenta (szczegóły w biuletynie FG-IR-23-130 na fortiguard.com)

Uwagi

W referencjach figuruje publiczne repozytorium GitHub (horizon3ai/CVE-2024-23108), co sugeruje dostępność publicznego kodu proof-of-concept dla tej podatności.