BDU:2022-01972

Опубликовано: 05 апр. 2022

Источник: fstec

CVSS3: 9.8

CVSS2: 10

EPSS Низкий

Описание

Уязвимость веб-интерфейса системы балансировки трафика FortiWAN связана с непринятием мер по защите структуры SQL-запросов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код с помощью специально сформированных HTTP-запросов

Вендор

Fortinet Inc.

Наименование ПО

FortiWan

Версия ПО

до 4.5.9 (FortiWan)

Тип ПО

Сетевое программное средство

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)

Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников.

В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:

- ограничение доступа к web-интерфейсу FortiWAN для внешних пользователей с использованием средств межсетевого экранирования;

- отключение доступа к web-интерфейсу FortiWAN через WAN-интерфейсы;

- использование межсетевых экранов прикладного уровня или средств обнаружения вторжений.

При невозможности выполнения приведенных компенсирующих мер рекомендуется отключить web-интерфейс.

Использование рекомендаций производителя:

https://www.fortiguard.com/psirt/FG-IR-21-062

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2021-26114
CVE

EPSS

Процентиль: 83%

0.01922

Низкий

9.8 Critical

CVSS3

10 Critical

CVSS2

Связанные уязвимости

CVE-2021-26114

CVSS3: 9.8

nvd

почти 4 года назад

Multiple improper neutralization of special elements used in an SQL command vulnerabilities in FortiWAN before 4.5.9 may allow an unauthenticated attacker to execute unauthorized code or commands via specifically crafted HTTP requests.

GHSA-6rpg-jg37-hhg7

CVSS3: 9.8

github

почти 4 года назад

EPSS

Процентиль: 83%

0.01922

Низкий

9.8 Critical

CVSS3

10 Critical

CVSS2