CRITICAL🚩 CISA KEV⚡ EXPLOIT🇬🇧 English

CVE-2024-47575

Brak uwierzytelnienia krytycznej funkcji w Fortinet FortiManager — RCE

CVSS 9.8v3.1pub. 2024-10-23upd. 2025-10-24

Podatność w Fortinet FortiManager i FortiManager Cloud polega na braku uwierzytelnienia dla krytycznej funkcji (CWE-306), co umożliwia nieuwierzytelnionemu atakującemu zdalne wykonanie dowolnego kodu lub poleceń. Podatność jest aktywnie wykorzystywana, otrzymała ocenę CVSS 9.8 (CRITICAL) i została umieszczona w katalogu CISA KEV.

▸ Pokaż oryginał (EN)

A missing authentication for critical function in FortiManager 7.6.0, FortiManager 7.4.0 through 7.4.4, FortiManager 7.2.0 through 7.2.7, FortiManager 7.0.0 through 7.0.12, FortiManager 6.4.0 through 6.4.14, FortiManager 6.2.0 through 6.2.12, Fortinet FortiManager Cloud 7.4.1 through 7.4.4, FortiManager Cloud 7.2.1 through 7.2.7, FortiManager Cloud 7.0.1 through 7.0.12, FortiManager Cloud 6.4.1 through 6.4.7 allows attacker to execute arbitrary code or commands via specially crafted requests.

🤖 Analiza AI

Jak działa

Atakujący wysyła specjalnie spreparowane żądania sieciowe do podatnego systemu FortiManager bez konieczności posiadania jakichkolwiek poświadczeń uwierzytelniających. Krytyczna funkcja systemu jest dostępna bez weryfikacji tożsamości, co stanowi lukę typu missing authentication (CWE-306). Dzięki temu możliwe jest wykonanie dowolnego kodu lub poleceń systemowych po stronie serwera zarządzającego.

Skutki

Nieuwierzytelniony atakujący zdalnie może przejąć pełną kontrolę nad systemem FortiManager, wykonując dowolny kod lub polecenia systemowe, co może prowadzić do kompromitacji zarządzanej infrastruktury sieciowej, kradzieży danych konfiguracyjnych oraz lateral movement w obrębie sieci.

Mitygacja

Należy natychmiast zastosować patche dostępne u producenta zgodnie z referencjami opublikowanymi przez Fortinet (FG-IR-24-423 na stronie fortiguard.fortinet.com). Do czasu wdrożenia patcha zaleca się ograniczenie dostępu sieciowego do interfejsu zarządzania FortiManager wyłącznie do zaufanych adresów IP oraz monitorowanie systemu pod kątem podejrzanej aktywności.

Kogo dotyczy

FortiManager 7.6.0; FortiManager 7.4.0–7.4.4; FortiManager 7.2.0–7.2.7; FortiManager 7.0.0–7.0.12; FortiManager 6.4.0–6.4.14; FortiManager 6.2.0–6.2.12; FortiManager Cloud 7.4.1–7.4.4; FortiManager Cloud 7.2.1–7.2.7; FortiManager Cloud 7.0.1–7.0.12; FortiManager Cloud 6.4.1–6.4.7

Uwagi

Podatność figuruje w katalogu CISA Known Exploited Vulnerabilities (KEV), co potwierdza aktywne wykorzystywanie jej w atakach. Identyfikator biuletynu producenta: FG-IR-24-423. Data publikacji: 2024-10-23.

CVSS Vector

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Fortinet Fortimanager
APP
Fortinet
7.6.06.4.0 – 6.4.15 (bez)7.0.0 – 7.0.13 (bez)7.2.0 – 7.2.8 (bez)7.4.0 – 7.4.5 (bez)6.2.0 – 6.2.13 (bez)
Fortinet Fortimanager Cloud
APP
Fortinet
6.4.1 – 6.4.77.0.1 – 7.0.13 (bez)7.2.1 – 7.2.8 (bez)7.4.1 – 7.4.5 (bez)

CISA KEV — szczegółyi

Dostawcai: Fortinet ↗
Produkti: FortiManager
Data dodania do KEVi: 23 października 2024
Termin remediation (USA)i: 13 listopada 2024(po terminie)

🔧Advisory Fortinet↗🇺🇸CISA KEV (oryginał)↗

Wymagana akcja (CISA)i

Zastosuj mitygacje zgodnie z instrukcjami producenta lub zaprzestań użytkowania produktu, jeśli mitygacje są niedostępne.

tłumaczenie AI

▸ Pokaż oryginał (EN)

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

Opis CISAi

Fortinet FortiManager zawiera lukę w autentykacji w demonie fgfmd, która pozwala zdalnemu, nieuwierzytelnionemu atakującemu na wykonanie dowolnego kodu lub poleceń poprzez specjalnie spreparowane żądania.

tłumaczenie AI

▸ Pokaż oryginał (EN)

Fortinet FortiManager contains a missing authentication vulnerability in the fgfmd daemon that allows a remote, unauthenticated attacker to execute arbitrary code or commands via specially crafted requests.

🔴