[TLP:CLEAR] Fortinet opravuje 3 zraniteľnosti
Fortinet opravuje 3 zraniteľnosti v produktoch FortiNAC, FortiManager, FortiAnalyzer, FortiAnalyzer-BigData a FortiClientEMS. Postihnuté produkty a ich opravené verzie: FortiNAC - 9.4.4, 7.2.3 FortiAnalyzer - 7.4.2, 7.2.4 FortiAnalyzer-BigData - 7.2.6 FortiManager - 7.4.2, 7.2.4 FortiClientEMS - 7.2.3, 7.0.11
Neautentizovanému vzdialenému útočníkovi je umožnené vykonať stored XSS útok [1].
Zraniteľnosť sa nachádza v produkte FortiClientEMS vo verziách (==0) OR (<7.2.3 AND >=7.2.0) OR (<7.0.11 AND >=7.0.0 AND !=7.0.5).
Viac informácií:
Zraniteľnosť bola verejne oznámená 8. 2. 2024.
Autentizovanému vzdialenému útočníkovi s právami administrátora stránky je umožnené vykonávať operácie s právami globálneho administrátora [2].
Zraniteľnosť sa nachádza v produkte FortiNAC vo verziách (==0) OR (<7.2.2 AND >=7.2.0) OR (<8.4.0 AND >=8.3.0) OR (<8.9.0 AND >=8.5.0) OR (<9.3.0 AND >=9.1.0) OR (<9.4.3 AND >=9.4.0).
Viac informácií:
- CVE-2023-26206 at cve.org, NVD, GitHub, CIRCL.LU, Debian, Ubuntu, Red Hat, SUSE
- CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') at cwe.mitre.org
Zraniteľnosť bola verejne oznámená 13. 2. 2024.
Autentizovanému vzdialenému útočníkovi s právami doménového administrátora je umožnené neoprávnene získať citlivé informácie [3].
Zraniteľnosť sa nachádza v produktoch:
- FortiAnalyzer vo verziách (==0) OR (<7.4.2 AND >=7.4.0) OR (<7.2.4 AND >=7.2.0) OR (<7.1.0 AND >=7.0.0) OR (<6.5.0 AND >=6.4.0) OR (<6.3.0 AND >=6.2.0)
- FortiAnalyzer-BigData vo verziách (==0) OR (<7.2.6 AND >=7.2.0) OR (<7.1.0 AND >=7.0.0) OR (<6.5.0 AND >=6.4.0) OR (<6.3.0 AND >=6.2.0)
- FortiManager vo verziách (==0) OR (<7.4.2 AND >=7.4.0) OR (<7.2.4 AND >=7.2.0) OR (<7.1.0 AND >=7.0.0) OR (<6.5.0 AND >=6.4.0) OR (<6.3.0 AND >=6.2.0)
Viac informácií:
- CVE-2023-44253 at cve.org, NVD, GitHub, CIRCL.LU, Debian, Ubuntu, Red Hat, SUSE
- CWE-200: Exposure of Sensitive Information to an Unauthorized Actor at cwe.mitre.org
Zraniteľnosť bola verejne oznámená 8. 2. 2024.
Odkazy
Publikoval Martin Krajči dňa 27. 2. 2024.
