FortiManager eta FortiManager Cloud-en kalteberatasun larri bat detektatu da, sistema eragilean urrunetik komandoak exekutatzea ahalbidetu dezakeena. Kalteberatasun hau, komandoetako elementu berezien neutralizazio desegoki baten ondorioz, urruneko erasotzaile autentifikatu bati kode ez baimendua exekutatzeko aukera ematen dio, bereziki diseinatutako eskaeren bidez. Eragindako bertsioen artean daude FortiManager 7.6.0, 7.4.4 eta aurreko bertsioak, baita FortiManager Cloud-en hainbat bertsio ere. Kalteberatasun honen eragin potentziala larria da, izan ere, sistemaren osotasuna, konfidentzialtasuna eta erabilgarritasuna arriskuan jar ditzake, erasotzaileari gailuaren kontrol osoa hartzea ahalbidetuz. Fabrikatzaileak emandako segurtasun-eguneraketak aplikatzea gomendatzen da, arrisku hau arintzeko.
Kalteberak diren baliabideak
- FortiManager 7.6
- FortiManager 7.4
- FortiManager 7.4 Cloud
- FortiManager 7.2
- FortiManager 7.2 Cloud
- FortiManager 7.0
- FortiManager 7.0 Cloud
- FortiManager 6.4
- FortiAnalyzer modeloak 1000E, 1000F, 2000E, 3000E, 3000F, 3000G, 3500E, 3500F, 3500G, 3700F, 3700G, 3900E
Analisi teknikoa
- CVE-2024-48889: FortiManager-en, bertsio 7.6.0, bertsio 7.4.4 eta aurreko bertsioetan, bertsio 7.2.7 eta aurreko bertsioetan, bertsio 7.0.12 eta aurreko bertsioetan, bertsio 6.4.14 eta aurreko bertsioetan, baita FortiManager Cloud-en bertsio 7.4.4 eta aurreko bertsioetan, bertsio 7.2.7 eta 7.2.1 bitarteko bertsioetan, bertsio 7.0.12 eta 7.0.1 bitarteko bertsioetan, OS komandoak injektatzeko kalteberatasun bat identifikatu da. Kalteberatasun honek urruneko erasotzaile autentifikatu bati kode ez baimendua exekutatzeko aukera eman diezaioke, FGFM bidez bereziki diseinatutako eskaerak erabiliz.
- CWE-78
- CVSS: 7.2
- CVSS Vektorea: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
- Sustapena: Ez da hauteman
Arintzea / Irtenbidea
Fortinet-ek FortiManager 7.6.1 edo goragoko, 7.4.5 edo goragoko, 7.2.8 edo goragoko, 7.0.13 edo goragoko, eta 6.4.15 edo goragoko bertsioetara eguneratzea gomendatzen du OS komandoen injekzio kaltegarritasun hori arintzeko. Gainera, zerrendatutako FortiAnalyzer modelo zaharrak ere kaltetuak dira eta eguneratu behar dira.
Erreferentzia gehigarriak