Descripción
Una vulnerabilidad de omisión de autorización mediante una clave controlada por el usuario en Fortinet FortiAnalyzer 8.0.0 a 8.0.1, FortiAnalyzer 7.6.0 a 7.6.7, FortiAnalyzer 7.4.0 a 7.4.11, FortiAnalyzer 7.2 todas las versiones, FortiAnalyzer Cloud 8.0.1, FortiAnalyzer Cloud 7.6.0 a 7.6.7, FortiAnalyzer Cloud 7.4.1 a 7.4.11, FortiAnalyzer Cloud 7.2 todas las versiones, FortiManager 8.0.0 a 8.0.1, FortiManager 7.6.0 a 7.6.7, FortiManager 7.4.0 a 7.4.11, FortiManager 7.2 todas las versiones, FortiManager Cloud 8.0.1, FortiManager Cloud 7.6.0 a 7.6.7, FortiManager Cloud 7.4.1 a 7.4.11 y FortiManager Cloud 7.2 todas las versiones podría permitir que un administrador autenticado acceda a otros VDOM mediante solicitudes HTTP especialmente manipuladas.
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Versiones afectadas
- FortiManager Afectadas: 8.0.0 a 8.0.1 · 7.6.0 a 7.6.7 · 7.4.0 a 7.4.11 · 7.2.0 a 7.2.13 · 7.0.0 a 7.0.16
- FortiAnalyzer Afectadas: 8.0.0 a 8.0.1 · 7.6.0 a 7.6.7 · 7.4.0 a 7.4.11 · 7.2.0 a 7.2.13 · 7.0.0 a 7.0.16
- FortiManager Cloud Afectadas: 8.0.1 · 7.6.0 a 7.6.7 · 7.4.1 a 7.4.11 · 7.2.1 a 7.2.13 · 7.0.1 a 7.0.16
- FortiAnalyzer Cloud Afectadas: 8.0.1 · 7.6.0 a 7.6.7 · 7.4.1 a 7.4.11 · 7.2.1 a 7.2.13 · 7.0.1 a 7.0.16
Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.
Referencias
- Referencia en fortiguard.fortinet.comfortiguard.fortinet.com/psirt/FG-IR-26-244
Ver el texto original en inglés (CVE.org)
A authorization bypass through user-controlled key vulnerability in Fortinet FortiAnalyzer 8.0.0 through 8.0.1, FortiAnalyzer 7.6.0 through 7.6.7, FortiAnalyzer 7.4.0 through 7.4.11, FortiAnalyzer 7.2 all versions, FortiAnalyzer Cloud 8.0.1, FortiAnalyzer Cloud 7.6.0 through 7.6.7, FortiAnalyzer Cloud 7.4.1 through 7.4.11, FortiAnalyzer Cloud 7.2 all versions, FortiManager 8.0.0 through 8.0.1, FortiManager 7.6.0 through 7.6.7, FortiManager 7.4.0 through 7.4.11, FortiManager 7.2 all versions, FortiManager Cloud 8.0.1, FortiManager Cloud 7.6.0 through 7.6.7, FortiManager Cloud 7.4.1 through 7.4.11, FortiManager Cloud 7.2 all versions may allow an authenticated administrator to access to other VDOMs via specially crafted HTTP requests.