PT-2021-3979 · Fortinet · Fortimanager+2
Cyrille Chatras
+1
·
Publicado
2021-08-03
·
Atualizado
2022-07-28
·
CVE-2021-26104
CVSS v3.1
7.8
Alta
| Vetor | AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Versões 6.2.7 e anteriores, 6.4.5 e anteriores do FortiManager
Versões 6.2.x, 6.0.x, 5.6.x do FortiManager
Versões 6.2.7 e anteriores, 6.4.5 e anteriores do FortiAnalyzer
Versões 6.2.x, 6.0.x, 5.6.x do FortiAnalyzer
Versões 5.2.5 e anteriores, 5.3.5 e anteriores, 6.0.4 e anteriores do FortiPortal
Descrição
A interface de linha de comando do software afetado apresenta múltiplas vulnerabilidades de injeção de comandos no sistema operacional, o que pode permitir que um usuário local autenticado e sem privilégios execute comandos shell arbitrários como root por meio de parâmetros de comando CLI especificamente criados. Esta falha está relacionada à falta de medidas para neutralizar elementos especiais usados em comandos do sistema operacional.
Recomendações
Para as versões 6.2.7 e anteriores, 6.4.5 e anteriores do FortiManager, e todas as versões 6.2.x, 6.0.x e 5.6.x, considere desativar a interface de linha de comando até que um patch esteja disponível.
Para as versões 6.2.7 e anteriores, 6.4.5 e anteriores do FortiAnalyzer, e todas as versões 6.2.x, 6.0.x e 5.6.x, considere desativar a interface de linha de comando até que um patch esteja disponível.
Para as versões 5.2.5 e anteriores, 5.3.5 e anteriores e 6.0.4 e anteriores do FortiPortal, considere desativar a interface de linha de comando até que um patch esteja disponível.
Como solução alternativa temporária, considere restringir o acesso à interface de linha de comando para minimizar o risco de exploração.
Exploit
Correção
OS Command Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Fortianalyzer
Fortimanager
Fortiportal