Fortinet pubblica nuovi alert per 5 vulnerabilità gravi rilevate sui suoi prodotti

Redazione RHC : 5 Gennaio 2023 08:05

Martedì Fortinet ha informato i clienti di 5 nuove vulnerabilità scoperte nei prodotti dell’azienda, inclusi 2 difetti a cui è stato assegnato un livello di gravità “alto”.

Uno dei problemi più gravi interessa FortiADC e consente a un utente malintenzionato autenticato con accesso alla GUI Web di eseguire comandi tramite richieste HTTP appositamente predisposte. 

Tracciato come CVE-2022-39947 (punteggio CVSS di 8,6), il difetto consente a un utente malintenzionato autenticato remoto di eseguire codice arbitrario sul sistema, causato da una vulnerabilità di iniezione di comandi del sistema operativo.

Scarica Gratuitamente Byte The Silence, il fumetto sul Cyberbullismo di Red Hot Cyber "Il cyberbullismo è una delle minacce più insidiose e silenziose che colpiscono i nostri ragazzi. Non si tratta di semplici "bravate online", ma di veri e propri atti di violenza digitale, capaci di lasciare ferite profonde e spesso irreversibili nell’animo delle vittime.  Non possiamo più permetterci di chiudere gli occhi". Così si apre la prefazione del fumetto di Massimiliano Brolli, fondatore di Red Hot Cyber, un’opera che affronta con sensibilità e realismo uno dei temi più urgenti della nostra epoca.  Distribuito gratuitamente, questo fumetto nasce con l'obiettivo di sensibilizzare e informare. È uno strumento pensato per scuole, insegnanti, genitori e vittime, ma anche per chi, per qualsiasi ragione, si è ritrovato nel ruolo del bullo, affinché possa comprendere, riflettere e cambiare.  Con la speranza che venga letto, condiviso e discusso, Red Hot Cyber è orgogliosa di offrire un contributo concreto per costruire una cultura digitale più consapevole, empatica e sicura. Contattaci tramite WhatsApp al numero 375 593 1011 per richiedere ulteriori informazioni oppure alla casella di posta [email protected] Supporta Red Hot Cyber attraverso:  L'acquisto del fumetto sul Cybersecurity Awareness Ascoltando i nostri Podcast Seguendo RHC su WhatsApp Seguendo RHC su Telegram Scarica gratuitamente “Byte The Silence”, il fumetto sul Cyberbullismo di Red Hot Cyber Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

“Una improper neutralization di elementi speciali del sistema operativo di FortiADC può consentire a un utente malintenzionato autenticato con accesso alla GUI Web di eseguire codice o comandi non autorizzati tramite richieste HTTP appositamente predisposte”

ha scritto Fortinet.

La CVE-2022-39947 interessa le versioni FortiADC 5.4.x, 6.0.x, 6.1.x, 6.2.x e 7.0.x e verrà aggiornato con il rilascio di FortiADC 6.2.4 e 7.0.2.

Un altro difetto di gravità elevata, tracciato come CVE-2022-35845 (punteggio CVSS di 7,6), è descritto come una vulnerabilità di command injection nella GUI e nell’API di FortiTester e causato da improper neutralization. Il bug interessa le versioni 2.xx, 3.xx, 4.xx, 7.x e 7.1.0 di FortiTester ed è stato corretto con il rilascio delle versioni 3.9.2, 4.2.1, 7.1.1 e 7.2 di FortiTester. 0.

Gli altri 3 difetti sono:

• FG-IR-22-250 : una improper neutralization delle sequenze CRLF nelle intestazioni HTTP (vulnerabilità ‘HTTP Response Splitting’) [CWE-113] nell’API FortiWeb può consentire a un utente malintenzionato autenticato e remoto di inserire intestazioni arbitrarie.
• CVE-2022-41336: una improper neutralization dell’input durante la vulnerabilità della generazione di pagine Web [CWE-79] nell’interfaccia di gestione di FortiPortal può consentire a un utente malintenzionato autenticato in remoto di eseguire un attacco XSS (stored cross-site scripting) inviando una richiesta con un parametro columnindex appositamente predisposto.
• CVE-2022-45857: una vulnerabilità di gestione degli utenti errata [CWE-286] nel componente di creazione VDOM di FortiManager potrebbe consentire a un utente malintenzionato di accedere a un FortiGate senza una password tramite VDOM appena creati dopo l’eliminazione dell’account amministratore con profilo super_admin.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli