Podatność typu missing authorization (CWE-862) w Fortinet FortiSandbox pozwala nieuwierzytelnionemu atakującemu na wykonanie nieautoryzowanego kodu lub poleceń poprzez żądania HTTP. Ocena CVSS 9.8 (CRITICAL) czyni tę lukę jednym z najpoważniejszych zagrożeń dla środowisk korzystających z produktów FortiSandbox.
▸ Pokaż oryginał (EN)
A missing authorization vulnerability in Fortinet FortiSandbox 5.0.0 through 5.0.1, FortiSandbox 4.4.0 through 4.4.8, FortiSandbox Cloud 5.0.2 through 5.0.5, FortiSandbox PaaS 23.4 all versions, FortiSandbox PaaS 23.3 all versions, FortiSandbox PaaS 23.1 all versions, FortiSandbox PaaS 22.2 all versions, FortiSandbox PaaS 22.1 all versions, FortiSandbox PaaS 21.4 all versions, FortiSandbox PaaS 21.3 all versions, FortiSandbox PaaS 5.0.0 through 5.0.1, FortiSandbox PaaS 4.4.5 through 4.4.8 may allow an unauthenticated attacker to execute unauthorized code or commands via HTTP requests.
Podatność wynika z braku weryfikacji autoryzacji dla określonych żądań HTTP obsługiwanych przez FortiSandbox. Atakujący nieposiadający żadnych poświadczeń może wysyłać spreparowane żądania HTTP bezpośrednio do podatnego systemu, omijając mechanizmy kontroli dostępu. Ze względu na sieciowy wektor ataku (AV:N), brak wymagań co do złożoności ataku (AC:L) oraz brak konieczności interakcji użytkownika, eksploatacja może być przeprowadzona zdalnie i w pełni automatycznie.
Nieuwierzytelniony atakujący może zdalnie wykonać dowolny kod lub polecenia systemowe na podatnym urządzeniu, co prowadzi do pełnego naruszenia poufności, integralności i dostępności systemu (C:H/I:H/A:H).
Należy zastosować patche dostępne u producenta zgodnie z referencjami opublikowanymi przez Fortinet pod adresem https://fortiguard.fortinet.com/psirt/FG-IR-26-136. Do czasu wdrożenia poprawki zaleca się ograniczenie dostępu sieciowego do interfejsu HTTP FortiSandbox wyłącznie do zaufanych adresów IP oraz izolację urządzenia od sieci publicznej.
Fortinet FortiSandbox 5.0.0–5.0.1, FortiSandbox 4.4.0–4.4.8; FortiSandbox Cloud 5.0.2–5.0.5; FortiSandbox PaaS 23.4 (wszystkie wersje), 23.3 (wszystkie wersje), 23.1 (wszystkie wersje), 22.2 (wszystkie wersje), 22.1 (wszystkie wersje), 21.4 (wszystkie wersje), 21.3 (wszystkie wersje), 5.0.0–5.0.1, 4.4.5–4.4.8
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HFortinet Fortisandbox
APPFortinet4.4.0 – 4.4.9 (bez)5.0.0 – 5.0.2 (bez)Fortinet Fortisandbox Cloud
APPFortinet24.1.443623.1.4245 – 23.4.43745.0.2 – 5.0.6 (bez)Fortinet Fortisandbox Paas
APPFortinet4.4.5 – 4.4.9 (bez)5.0.0 – 5.0.2 (bez)21.3.4055 – 23.4.4374
Powiązane podatności
Command injection w Fortinet FortiSandbox — dostęp bez uwierzytelnienia
Command Injection w Fortinet FortiSandbox umożliwiający RCE
A path traversal: '../filedir' vulnerability in Fortinet FortiSandbox 5.0.0 through 5.0.5, FortiSandbox 4.4.0 ...
An improper neutralization of special elements used in an os command ('os command injection') vulnerability in...
An Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability [CWE-79]...