Vulnérabilité dans FortiWeb
Date de publication :
CVE-2021-22123[Score CVSS v3.1: 8.8 ]
Une vulnérabilité aux injonctions de commandes système a été découverte dans l'interface de gestion de FortiWeb. Son exploitation peut permettre à un attaquant distant authentifié d'exécuter des commandes arbitraires sur le système via la page de configuration du serveur SAML.
Informations
La faille est activement exploitée :
Un correctif existe :
Une mesure de contournement existe :
Risques
- Exécution de code arbitraire à distance
Criticité
- Score CVSS v3 : 8.8
Existence d’un code d’exploitation
- Aucun code d’exploitation n’est disponible publiquement à l’heure actuelle.
Composants vulnérables
- FortiWeb version 6.4.0 et versions inférieures
- FortiWeb version 6.3.14 et versions inférieures
- FortiWeb version 6.2.4 et versions inférieures
CVE
Solutions ou recommandations
Mise en place de correctifs de sécurité
Mettre à jour les composants conformément aux instructions de l’éditeur :
Vers FortiWeb 6.3.15 ou une version supérieure
Vers FortiWeb 6.4.1 ou une version supérieure
Vers FortiWeb 6.2.5 ou une version supérieure
Solution de contournement
Désactiver l'accès à l'interface de gestion à partir de réseaux non approuvés et utiliser la fonction “Hôtes approuvés” pour restreindre l'accès aux adresses IP approuvées pour les utilisateurs administrateurs.