PT-2021-23051 · Fortinet · Fortiweb

Publicado 2021-12-08 · Atualizado 2021-12-10 · CVE-2021-41017

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do FortiWeb 6.3.0 a 6.3.15

Versões do FortiWeb 6.4.0 a 6.4.1

Descrição

Várias vulnerabilidades de estouro de buffer baseadas em heap em alguns controladores de API web do FortiWeb podem permitir que um invasor remoto autenticado execute código ou comandos arbitrários por meio de solicitações HTTP especialmente criadas.

Recomendações

Para as versões 6.3.0 a 6.3.15 do FortiWeb, atualize para uma versão que inclua a correção para as vulnerabilidades de estouro de buffer baseadas em heap.

Para as versões 6.4.0 a 6.4.1 do FortiWeb, atualize para uma versão que inclua a correção para as vulnerabilidades de estouro de buffer baseadas em heap.

Como solução alternativa temporária, considere restringir o acesso aos controladores de API da Web vulneráveis até que um patch esteja disponível.

Correção

RCE

Memory Corruption

Enumeração de Fraquezas

CWE-787

Identificadores relacionados

CVE-2021-41017

Produtos afetados

Fortiweb

Referências · 5

• https://fortiguard.com/advisory/FG-IR-21-160 · Aviso do Fabricante
• https://t.me/cibsecurity/33639 · Publicação no Telegram
• https://t.me/cvenotify/24521 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-41017 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2021-41017 · Aviso do Fabricante