BDU:2022-06189

Опубликовано: 07 окт. 2022

Источник: fstec

CVSS3: 9.8

CVSS2: 10

EPSS Критический

Описание

Уязвимость веб-интерфейса управления операционных систем FortiOS и прокси-сервера для защиты от интернет-атак FortiProxy связана с возможностью обхода аутентификации. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, повысить свои привилегии

Вендор

Fortinet Inc.

Наименование ПО

FortiOS

FortiProxy

FortiSwitch Manager

Версия ПО

от 7.0.0 до 7.0.7 (FortiOS)

от 7.2.0 до 7.2.2 (FortiOS)

от 7.0.0 до 7.0.6 включительно (FortiProxy)

7.2.0 (FortiProxy)

7.0.0 (FortiSwitch Manager)

7.2.0 (FortiSwitch Manager)

Тип ПО

Операционная система

Средство защиты

Сетевое средство

Операционные системы и аппаратные платформы

Fortinet Inc. FortiOS от 7.0.0 до 7.0.7

Fortinet Inc. FortiOS от 7.2.0 до 7.2.2

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)

Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников.

В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:

- использование локальной политики для ограничения доступа к веб-интерфейсу управления

- отключения возможности доступа к веб-интерфейсу управления из общедоступных сетей (Интернет);

- ограничение возможности подключения к веб-интерфейсу только доверенными хостами.

Использование рекомендаций:

https://docs.fortinet.com/document/fortigate/6.0.0/hardening-your-fortigate/582009/system-administrator-best-practices

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2022-40684
CVE

EPSS

Процентиль: 100%

0.94427

Критический

9.8 Critical

CVSS3

10 Critical

CVSS2

Связанные уязвимости

CVE-2022-40684

CVSS3: 9.8

nvd

больше 3 лет назад

An authentication bypass using an alternate path or channel [CWE-288] in Fortinet FortiOS version 7.2.0 through 7.2.1 and 7.0.0 through 7.0.6, FortiProxy version 7.2.0 and version 7.0.0 through 7.0.6 and FortiSwitchManager version 7.2.0 and 7.0.0 allows an unauthenticated atttacker to perform operations on the administrative interface via specially crafted HTTP or HTTPS requests.

GHSA-m3wm-rjvf-m778

CVSS3: 9.8

github

больше 3 лет назад

EPSS

Процентиль: 100%

0.94427

Критический

9.8 Critical

CVSS3

10 Critical

CVSS2