Fortinet - CVE-2025-46773
Date de publication :
Il s’agit d’une vulnérabilité dans l’interface web d’administration de FortiAnalyzer et de FortiAnalyzer Cloud.
FortiAnalyzer est une solution de centralisation, d’analyse et de génération de rapports sur les journaux des équipements Fortinet. Elle collecte les événements de sécurité et fournit des tableaux de bord de supervision. Elle est proposée en déploiement sur site et en service cloud (FortiAnalyzer Cloud).
Une injection SQL résulte de la neutralisation incorrecte d’éléments spéciaux dans une requête SQL. L’attaque exige un compte authentifié à faibles privilèges et des requêtes spécialement conçues. L’avis Fortinet décrit un impact d’exécution de commandes et de lecture et écriture arbitraires de fichiers. Le même avis regroupe quatre CVE de même nature, dont trois touchent aussi FortiManager.
Elle permet à un attaquant distant authentifié à faibles privilèges d’exécuter des commandes arbitraires sur le système.
Informations
La faille est activement exploitée : Non
Un correctif existe : Oui
Une mesure de contournement existe : Non
Exécution de code arbitraire (à distance)
Exploitation
CWE-89 : Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection')
Détails sur l'exploitation
• Vecteur d'attaque : Réseau
• Complexité de l'attaque : Faible
• Privilèges nécessaires pour réaliser l'attaque : Authentification utilisateur simple
• Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Non
• L'exploitation de la faille permet d'obtenir des droits privilégiés : Non
Preuve de concept
Actuellement, aucune preuve de concept n'est disponible en sources ouvertes.
Systèmes ou composants affectés
• FortiAnalyzer 7.6 versions 7.6.0 jusqu’à 7.6.4
• FortiAnalyzer 7.4 versions 7.4.0 jusqu’à 7.4.7
• FortiAnalyzer 7.2 toutes les versions (fin de support le 11 octobre 2026)
• FortiAnalyzer Cloud 7.6 versions 7.6.2 jusqu’à 7.6.4
• FortiAnalyzer Cloud 7.4 versions 7.4.1 jusqu’à 7.4.7
• FortiAnalyzer Cloud 7.2 versions 7.2.1 jusqu’à 7.2.11
Solutions ou recommandations
• FortiAnalyzer 7.4 versions 7.4.8 et supérieures
• FortiAnalyzer 7.2 aucune version corrigée, migration vers une version corrigée requise (7.4.8 ou 7.6.5 et supérieures, la branche 8.0 n’est pas affectée)
• FortiAnalyzer Cloud 7.6 versions 7.6.5 et supérieures
• FortiAnalyzer Cloud 7.4 versions 7.4.8 et supérieures
• FortiAnalyzer Cloud 7.2 versions 7.2.12 et supérieures