BDU:2022-03218

Опубликовано: 02 мар. 2021

Источник: fstec

CVSS3: 5.3

CVSS2: 5

EPSS Низкий

Описание

Уязвимость операционной системы FortiOS связана с незашифрованным хранением конфиденциальной информации. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, получить учетные данные вошедшего в систему пользователя

Вендор

Fortinet Inc.

Наименование ПО

FortiProxy

FortiOS

Версия ПО

2.0.0 (FortiProxy)

от 1.1.0 до 1.1.6 включительно (FortiProxy)

1.1.6 (FortiProxy)

от 6.2.0 до 6.2.2 включительно (FortiOS)

от 5.4.0 до 5.4.13 включительно (FortiOS)

от 5.2.0 до 5.2.15 включительно (FortiOS)

от 6.0.0 до 6.0.9 включительно (FortiOS)

от 5.6.0 до 5.6.13 включительно (FortiOS)

от 1.2.0 до 1.2.9 включительно (FortiProxy)

до 1.0.7 включительно (FortiProxy)

Тип ПО

Средство защиты

Операционная система

Операционные системы и аппаратные платформы

Fortinet Inc. FortiOS от 6.2.0 до 6.2.2 включительно

Fortinet Inc. FortiOS от 5.4.0 до 5.4.13 включительно

Fortinet Inc. FortiOS от 5.2.0 до 5.2.15 включительно

Fortinet Inc. FortiOS от 6.0.0 до 6.0.9 включительно

Fortinet Inc. FortiOS от 5.6.0 до 5.6.13 включительно

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 5)

Средний уровень опасности (базовая оценка CVSS 3.0 составляет 5,3)

Возможные меры по устранению уязвимости

Использование рекомендаций производителя:

https://fortiguard.com/psirt/FG-IR-19-217

https://fortiguard.com/psirt/FG-IR-20-224

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2019-17655
CVE

EPSS

Процентиль: 40%

0.00182

Низкий

5.3 Medium

CVSS3

5 Medium

CVSS2

Связанные уязвимости

CVE-2019-17655

CVSS3: 5.3

nvd

больше 5 лет назад

A cleartext storage in a file or on disk (CWE-313) vulnerability in FortiOS SSL VPN 6.2.0 through 6.2.2, 6.0.9 and earlier and FortiProxy 2.0.0, 1.2.9 and earlier may allow an attacker to retrieve a logged-in SSL VPN user's credentials should that attacker be able to read the session file stored on the targeted device's system.

GHSA-2v5p-gw86-2385

github

больше 3 лет назад

A cleartext storage in a file or on disk (CWE-313) vulnerability in FortiOS SSL VPN 6.2.2 and below may allow an attacker to retrieve a logged-in SSL VPN user's credentials should that attacker be able to read the session file stored on the targeted device's system.