Vulnérabilité dans FortiWeb

Date de publication :

CVE-2021-22123[Score CVSS v3.1: 8.8 ]

Une vulnérabilité aux injonctions de commandes système a été découverte dans l'interface de gestion de FortiWeb. Son exploitation peut permettre à un attaquant distant authentifié d'exécuter des commandes arbitraires sur le système via la page de configuration du serveur SAML.

Informations

La faille est activement exploitée :

Un correctif existe :

Une mesure de contournement existe :

Risques

Risques

    Exécution de code arbitraire à distance

Criticité

    Score CVSS v3 : 8.8

Existence d’un code d’exploitation

    Aucun code d’exploitation n’est disponible publiquement à l’heure actuelle.

Composants vulnérables

    FortiWeb version 6.4.0 et versions inférieures

    FortiWeb version 6.3.14 et versions inférieures

    FortiWeb version 6.2.4 et versions inférieures

CVE

Solutions ou recommandations

Mise en place de correctifs de sécurité

Mettre à jour les composants conformément aux instructions de l’éditeur :

  • Vers FortiWeb 6.3.15 ou une version supérieure

  • Vers FortiWeb 6.4.1 ou une version supérieure

  • Vers FortiWeb 6.2.5 ou une version supérieure

Solution de contournement

  • Désactiver l'accès à l'interface de gestion à partir de réseaux non approuvés et utiliser la fonction “Hôtes approuvés” pour restreindre l'accès aux adresses IP approuvées pour les utilisateurs administrateurs.

Liens