PT-2022-6128 · Fortinet · Fortiweb

Publicado 2022-02-01 · Atualizado 2022-02-04 · CVE-2021-41018

Positive Technologies (AI Summary) · Pt

CVSS v2.0

9.0

Alta

Vetor base

AV:N/AC:L/Au:S/C:C/I:C/A:C

Nome do software vulnerável e versões afetadas

Versões 6.4.1 e anteriores do FortiWeb

Versões 6.3.15 e anteriores do FortiWeb

Descrição

O problema ocorre devido à neutralização inadequada de elementos especiais utilizados em um comando do sistema operacional, permitindo a injeção de comandos no sistema operacional. Isso pode ser explorado por um invasor remoto por meio de uma solicitação HTTP especialmente criada para executar códigos ou comandos não autorizados.

Recomendações

Para as versões 6.4.1 e anteriores do FortiWeb, atualize para uma versão superior à 6.4.1 para resolver o problema.

Para as versões 6.3.15 e anteriores do FortiWeb, atualize para uma versão superior à 6.3.15 para resolver o problema.

Como solução temporária, considere restringir o acesso à funcionalidade vulnerável de injeção de comandos do sistema operacional até que um patch esteja disponível.

Correção

OS Command Injection

Enumeração de Fraquezas

CWE-78

Identificadores relacionados

BDU:2023-00081

CVE-2021-41018

Produtos afetados

Fortiweb

Referências · 5

• https://t.me/cibsecurity/36695 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-41018 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2021-41018 · Aviso do Fabricante
• https://bdu.fstec.ru/vul/2023-00081 · Nota de Segurança
• https://fortiguard.com/advisory/FG-IR-21-166 · Aviso do Fabricante