PT-2021-3587 · Fortinet · Fortimail

Publicado 2021-06-21 · Atualizado 2021-07-12 · CVE-2021-24007

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do FortiMail anteriores à 6.4.4

Descrição

O problema está relacionado a várias neutralizações inadequadas de elementos especiais de comandos SQL no FortiMail, o que pode permitir que um invasor não autenticado execute código ou comandos não autorizados por meio de solicitações HTTP especialmente criadas. Isso poderia ser potencialmente explorado por um invasor remoto.

Recomendações

Para versões anteriores à 6.4.4, atualize para a versão 6.4.4 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso às solicitações HTTP que poderiam ser usadas para explorar a vulnerabilidade.

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

BDU:2021-03691

CVE-2021-24007

Produtos afetados

Fortimail

Referências · 8

• https://nvd.nist.gov/vuln/detail/CVE-2021-24007 · Nota de Segurança
• https://fortiguard.com/psirt/FG-IR-21-012 · Nota
• https://osv.dev/vulnerability/CVE-2021-24007 · Aviso do Fabricante
• https://t.me/cvenotify/17397 · Publicação no Telegram
• https://fortiguard.com/advisory/FG-IR-21-012 · Aviso do Fabricante
• https://t.me/cibsecurity/26043 · Publicação no Telegram
• https://t.me/cvenotify/17456 · Publicação no Telegram
• https://bdu.fstec.ru/vul/2021-03691 · Nota de Segurança