PT-2020-6665 · Fortinet · Fortiap-S/W2+4
Publicado
2020-02-03
·
Atualizado
2020-04-08
·
CVE-2019-17657
CVSS v2.0
7.8
Alta
| Vetor | AV:N/AC:L/Au:N/C:N/I:N/A:C |
Nome do software vulnerável e versões afetadas
Versões do FortiSwitch anteriores à 3.6.11
Versões do FortiSwitch anteriores à 6.0.6
Versões do FortiSwitch anteriores à 6.2.2
Versões do FortiAnalyzer anteriores à 6.2.3
Versões do FortiManager anteriores à 6.2.3
Versões do FortiAP-S/W2 anteriores à 6.2.2
Descrição
O problema está relacionado a uma vulnerabilidade de consumo descontrolado de recursos que pode permitir que um invasor cause uma negação de serviço (DoS) na interface web de administração (webUI) ao processar lentamente, em partes, solicitações/respostas HTTP especialmente criadas, conforme demonstrado pelos ataques Slow HTTP DoS. Esse tipo de ataque é um ataque de negação de serviço (DoS) em que o invasor envia solicitações HTTP em partes lentamente, uma de cada vez, para um servidor web, mantendo os recursos do servidor ocupados aguardando o restante dos dados e criando um DoS quando o pool de conexões simultâneas do servidor atinge seu limite máximo.
Recomendações
Para versões do FortiSwitch anteriores à 3.6.11, atualize para a versão 3.6.11 ou posterior.
Para versões do FortiSwitch anteriores à 6.0.6, atualize para a versão 6.0.6 ou posterior.
Para versões do FortiSwitch anteriores à 6.2.2, atualize para a versão 6.2.2 ou posterior.
Para versões do FortiAnalyzer anteriores à 6.2.3, atualize para a versão 6.2.3 ou posterior.
Para versões do FortiManager anteriores à 6.2.3, atualize para a versão 6.2.3 ou posterior.
Para versões do FortiAP-S/W2 anteriores à 6.2.2, atualize para a versão 6.2.2 ou posterior.
Como solução alternativa temporária, considere restringir o acesso à interface de usuário administrativa (webUI) para minimizar o risco de exploração.
Correção
DoS
Resource Exhaustion
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Fortiap-S/W2
Fortianalyzer
Fortimanager
Fortiswitch
Fortios