Контакты
Подписка 2024
Персональные данные
4 апреля. Персональные данные в 2024 году: регулирование, практика, тенденции
Регистрируйтесь на онлайн-конференцию!

Уязвимость в FortiWeb позволяет перехватить контроль над межсетевым экраном

20/08/21

hack55-Aug-20-2021-08-38-41-99-AMВ платформе межсетевого экрана web-приложений FortiWeb компании Fortinet была обнаружена уязвимость внедрения команд. Эксплуатация уязвимости позволяет злоумышленникам повысить привилегии и полностью перехватить контроль над устройством.

Проблема содержится в интерфейсе управления FortiWeb (версии 6.3.11 и старше) и получила оценку в 8,7 балла по шкале CVSSv3. Эксплуатация проблемы может позволить удаленному авторизованному злоумышленнику выполнять произвольные команды на системе через страницу конфигурации SAML-сервера.

«Стоит обратить внимание, что хотя аутентификация является предварительным условием для осуществления атаки, данная уязвимость может сочетаться с другой проблемой обхода аутентификации, такой как CVE-2020-29015 », — пояснили эксперты.

После аутентификации злоумышленников в интерфейсе управления устройства FortiWeb они могут передавать команды, используя обратные кавычки в поле «Name» на странице конфигурации сервера SAML. Затем эти команды выполняются от имени суперпользователя базовой операционной системы. После этого преступник может установить постоянную оболочку, программное обеспечение для майнинга криптовалют или другое вредоносное ПО.

Уязвимость будет исправлена в версии FortiWeb 6.4.1, выпуск которой запланирован на август нынешнего года. В виду отсутствия патча пользователям рекомендуется отключить интерфейс управления устройством FortiWeb в ненадежных сетях, в том числе в интернете.

Темы:Угрозымежсетевые экраныFortinet
NGFW
9 апреля. Отечественные NGFW: как защитить облачную инфраструктуру и настроить обнаружение кибератак
Участвуйте и представляйте решения!
Статьи по темеСтатьи по теме

Участвуйте в проектах

редакции журнала
"Информационная безопасность" 

КАЛЕНДАРЬ МЕРОПРИЯТИЙ 2024
ПОСЕТИТЬ МЕРОПРИЯТИЯ
ВЫСТУПИТЬ НА КОНФЕРЕНЦИЯХ
СТАТЬ АВТОРОМ
SOAR, IRP, SOC
Спецпроекты журнала "Информационная безопасность"
Станьте автором издания!

Еще темы...

More...