Vulnérabilité dans FortiWeb

Date de publication :

CVE-2021-22123[Score CVSS v3.1: 8.8 ]
Une vulnérabilité aux injonctions de commandes système a été découverte dans l'interface de gestion de FortiWeb. Son exploitation peut permettre à un attaquant distant authentifié d'exécuter des commandes arbitraires sur le système via la page de configuration du serveur SAML.

Informations

La faille est activement exploitée :

Un correctif existe :

Une mesure de contournement existe :

Risques

Risques

  • Exécution de code arbitraire à distance

Criticité

  • Score CVSS v3 : 8.8

Existence d’un code d’exploitation

  • Aucun code d’exploitation n’est disponible publiquement à l’heure actuelle.

Composants vulnérables

  • FortiWeb version 6.4.0 et versions inférieures
  • FortiWeb version 6.3.14 et versions inférieures
  • FortiWeb version 6.2.4 et versions inférieures

CVE

Solutions ou recommandations

Mise en place de correctifs de sécurité

Mettre à jour les composants conformément aux instructions de l’éditeur :

  • Vers FortiWeb 6.3.15 ou une version supérieure

  • Vers FortiWeb 6.4.1 ou une version supérieure

  • Vers FortiWeb 6.2.5 ou une version supérieure

Solution de contournement

  • Désactiver l'accès à l'interface de gestion à partir de réseaux non approuvés et utiliser la fonction “Hôtes approuvés” pour restreindre l'accès aux adresses IP approuvées pour les utilisateurs administrateurs.

Liens