PT-2021-15646 · Fortinet · Fortimanager
Publicado
2021-09-30
·
Atualizado
2021-10-08
·
CVE-2021-24016
CVSS v2.0
9.3
Alta
| Vetor | AV:N/AC:M/Au:N/C:C/I:C/A:C |
**Nome do software vulnerável e versões afetadas:
Fortinet FortiManager versões 6.4.3 e anteriores
Fortinet FortiManager versões 6.2.7 e anteriores
Descrição:
O problema está relacionado à neutralização inadequada de elementos de fórmula em um arquivo CSV. Isso permite que um invasor execute comandos arbitrários por meio de um campo IPv4 manipulado no nome da política quando o arquivo é exportado como um arquivo Excel e aberto de forma insegura no host da vítima.
Recomendações:
Para as versões 6.4.3 e anteriores do Fortinet FortiManager, considere atualizar para uma versão superior à 6.4.3 para resolver o problema.
Para as versões 6.2.7 e anteriores do Fortinet FortiManager, considere atualizar para uma versão superior à 6.2.7 para resolver o problema.
Como solução alternativa temporária, considere evitar a exportação de nomes de políticas com campos IPv4 manipulados para arquivos Excel até que um patch esteja disponível.
Restrinja o acesso ao recurso de exportação de arquivos CSV para minimizar o risco de exploração.
Correção
RCE
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Fortimanager