PT-2021-7570 · Fortinet · Fortiweb

Publicado 2021-12-07 · Atualizado 2021-12-10 · CVE-2021-36194

Positive Technologies (AI Summary) · Pt

CVSS v2.0

9.0

Alta

Vetor base

AV:N/AC:L/Au:S/C:C/I:C/A:C

Nome do software vulnerável e versões afetadas

Versões do FortiWeb 6.3.0 a 6.3.15

Versões do FortiWeb 6.4.0 a 6.4.1

Descrição

O problema está relacionado a vários estouros de buffer baseados em pilha nos controladores de API, o que pode permitir que um invasor autenticado execute código arbitrário por meio de solicitações especialmente criadas. Isso pode ser explorado por um invasor remoto para executar código arbitrário usando uma solicitação especialmente criada.

Recomendações

Para as versões do FortiWeb 6.3.0 a 6.3.15, atualize para uma versão que corrija o problema de estouro de buffer nos controladores de API.

Para as versões 6.4.0 a 6.4.1 do FortiWeb, atualize para uma versão que corrija o problema de estouro de buffer nos controladores de API.

Como solução alternativa temporária, considere restringir o acesso aos controladores de API para minimizar o risco de exploração.

Correção

Memory Corruption

Enumeração de Fraquezas

CWE-787

Identificadores relacionados

BDU:2023-00093

CVE-2021-36194

Produtos afetados

Fortiweb

Referências · 5

• https://bdu.fstec.ru/vul/2023-00093 · Nota de Segurança
• https://fortiguard.com/advisory/FG-IR-21-152 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-36194 · Nota de Segurança
• https://t.me/cvenotify/24450 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-36194 · Aviso do Fabricante