PT-2021-3662 · Fortinet · Fortimail

Publicado 2021-06-16 · Atualizado 2023-08-08 · CVE-2021-26095

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do FortiMail 6.2.0 a 6.2.6

Versões do FortiMail 6.4.0 a 6.4.4

Descrição

O problema está relacionado a falhas criptográficas no gerenciamento de sessões do FortiMail, incluindo a estrutura de criptografia do cookie de sessão. Isso pode permitir que um invasor remoto que já possua um cookie revele, altere ou falsifique seu conteúdo, potencialmente elevando seus privilégios.

Recomendações

Para as versões do FortiMail 6.2.0 a 6.2.6, atualize para uma versão fora desse intervalo para resolver o problema.

Para as versões do FortiMail 6.4.0 a 6.4.4, atualize para uma versão fora desse intervalo para resolver o problema.

Como solução alternativa temporária, considere restringir o acesso às funções de gerenciamento de sessão até que um patch esteja disponível.

Correção

Inadequate Encryption Strength

Enumeração de Fraquezas

CWE-326

Identificadores relacionados

BDU:2021-03895

CVE-2021-26095

Produtos afetados

Fortimail

Referências · 7

• https://t.me/cibsecurity/26277 · Publicação no Telegram
• https://fortiguard.com/advisory/FG-IR-21-019 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-26095 · Nota de Segurança
• https://fortiguard.com/psirt/FG-IR-21-019 · Nota
• https://osv.dev/vulnerability/CVE-2021-26095 · Aviso do Fabricante
• https://bdu.fstec.ru/vul/2021-03895 · Nota de Segurança
• https://cybersecurity-help.cz/vdb/SB2021071352 · Nota