BDU:2023-00937

Опубликовано: 15 фев. 2023

Источник: fstec

CVSS3: 9.8

CVSS2: 10

EPSS Низкий

Описание

Уязвимость средства управления доступом к сети Fortinet FortiNAC связана с недостатками процедуры авторизации. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код путем отправки специально сформированных POST-запросов по протоколу HTTP

Вендор

Fortinet Inc.

Наименование ПО

FortiNAC

Версия ПО

от 9.2.0 до 9.2.7 (FortiNAC)

от 9.4.0 до 9.4.2 (FortiNAC)

до 7.2.0 (FortiNAC)

Тип ПО

ПО сетевого программно-аппаратного средства

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)

Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников.

В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:

- использование средств межсетевого экранирования уровня веб-приложений;

- применение систем обнаружения и предотвращения вторжений для ограничения возможности удаленного доступа с недоверенных хостов;

- использование сторонних средств контроля доступа пользователей (VPN и др.) к программному продукту из общедоступных сетей (Интернет).

Использование рекомендаций:

https://www.fortiguard.com/psirt/FG-IR-22-329

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

https://www.fortiguard.com/psirt/FG-IR-22-329

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 58%

0.00369

Низкий

9.8 Critical

CVSS3

10 Critical

CVSS2

Связанные уязвимости

CVE-2022-38375

CVSS3: 9.1

nvd

почти 3 года назад

An improper authorization vulnerability [CWE-285] in Fortinet FortiNAC version 9.4.0 through 9.4.1 and before 9.2.6 allows an unauthenticated user to perform some administrative operations over the FortiNAC instance via crafted HTTP POST requests.

GHSA-pxw3-v724-g6xr