PT-2024-3552 · Fortinet · Fortivoice

Publicado 2024-05-14 · Atualizado 2024-05-23 · CVE-2023-40720

Positive Technologies (AI Summary) · Pt

CVSS v2.0

7.5

Alta

Vetor base

AV:N/AC:L/Au:S/C:C/I:N/A:P

Nome do software vulnerável e versões afetadas

Versões do FortiVoice 7.0.0 a 7.0.1

Versões do FortiVoice anteriores à 6.4.8

Descrição

O problema está relacionado a uma violação de autorização por meio de uma chave controlada pelo usuário, permitindo que um invasor remoto divulgue arquivos de configuração SIP enviando solicitações HTTP ou HTTPS especialmente criadas. Isso pode permitir que um invasor autenticado leia a configuração SIP de outros usuários.

Recomendações

Para as versões 7.0.0 a 7.0.1 do FortiVoice, atualize para uma versão fora desse intervalo para resolver o problema.

Para versões do FortiVoice anteriores à 6.4.8, atualize para a versão 6.4.8 ou posterior para resolver o problema.

Como solução temporária, considere restringir o acesso aos arquivos de configuração SIP até que um patch esteja disponível.

Correção

IDOR

Enumeração de Fraquezas

CWE-639

Identificadores relacionados

BDU:2024-03857

CVE-2023-40720

Produtos afetados

Fortivoice

Referências · 6

• https://t.me/cvenotify/80883 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2023-40720 · Nota de Segurança
• https://fortiguard.com/psirt/FG-IR-23-282 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2023-40720 · Aviso do Fabricante
• https://bdu.fstec.ru/vul/2024-03857 · Nota de Segurança
• https://t.me/cvenotify/79749 · Publicação no Telegram