PT-2021-12499 · Fortinet · Fortiisolator

Publicado 2021-02-08 · Atualizado 2021-02-10 · CVE-2020-6649

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

**Nome do software vulnerável e versões afetadas:

FortiIsolator versões 2.0.1 e anteriores

Descrição:

O problema está relacionado a um tempo de expiração insuficiente das sessões no FortiIsolator, o que pode permitir que um invasor reutilize IDs de sessão de usuário administrador ainda válidas para obter privilégios de administrador, caso consiga obter o ID da sessão por outros meios.

Recomendações:

Para as versões 2.0.1 e anteriores do FortiIsolator, considere implementar controles adicionais de gerenciamento de sessão, como expirar ou revogar manualmente as sessões de administrador após um determinado período de inatividade, até que uma correção esteja disponível.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Insufficient Session Expiration

Enumeração de Fraquezas

CWE-613

Identificadores relacionados

CVE-2020-6649

Produtos afetados

Fortiisolator

Referências · 4

• https://t.me/cibsecurity/23213 · Publicação no Telegram
• https://fortiguard.com/advisory/FG-IR-20-011 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-6649 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2020-6649 · Aviso do Fabricante