Fortinet pubblica nuovi alert per 5 vulnerabilità gravi rilevate sui suoi prodotti

Martedì Fortinet ha informato i clienti di 5 nuove vulnerabilità scoperte nei prodotti dell’azienda, inclusi 2 difetti a cui è stato assegnato un livello di gravità “alto”.

Uno dei problemi più gravi interessa FortiADC e consente a un utente malintenzionato autenticato con accesso alla GUI Web di eseguire comandi tramite richieste HTTP appositamente predisposte. 

Tracciato come CVE-2022-39947 (punteggio CVSS di 8,6), il difetto consente a un utente malintenzionato autenticato remoto di eseguire codice arbitrario sul sistema, causato da una vulnerabilità di iniezione di comandi del sistema operativo.

“Una improper neutralization di elementi speciali del sistema operativo di FortiADC può consentire a un utente malintenzionato autenticato con accesso alla GUI Web di eseguire codice o comandi non autorizzati tramite richieste HTTP appositamente predisposte”

ha scritto Fortinet.

La CVE-2022-39947 interessa le versioni FortiADC 5.4.x, 6.0.x, 6.1.x, 6.2.x e 7.0.x e verrà aggiornato con il rilascio di FortiADC 6.2.4 e 7.0.2.

Un altro difetto di gravità elevata, tracciato come CVE-2022-35845 (punteggio CVSS di 7,6), è descritto come una vulnerabilità di command injection nella GUI e nell’API di FortiTester e causato da improper neutralization. Il bug interessa le versioni 2.xx, 3.xx, 4.xx, 7.x e 7.1.0 di FortiTester ed è stato corretto con il rilascio delle versioni 3.9.2, 4.2.1, 7.1.1 e 7.2 di FortiTester. 0.

Gli altri 3 difetti sono:

• FG-IR-22-250 : una improper neutralization delle sequenze CRLF nelle intestazioni HTTP (vulnerabilità ‘HTTP Response Splitting’) [CWE-113] nell’API FortiWeb può consentire a un utente malintenzionato autenticato e remoto di inserire intestazioni arbitrarie.
• CVE-2022-41336: una improper neutralization dell’input durante la vulnerabilità della generazione di pagine Web [CWE-79] nell’interfaccia di gestione di FortiPortal può consentire a un utente malintenzionato autenticato in remoto di eseguire un attacco XSS (stored cross-site scripting) inviando una richiesta con un parametro columnindex appositamente predisposto.
• CVE-2022-45857: una vulnerabilità di gestione degli utenti errata [CWE-286] nel componente di creazione VDOM di FortiManager potrebbe consentire a un utente malintenzionato di accedere a un FortiGate senza una password tramite VDOM appena creati dopo l’eliminazione dell’account amministratore con profilo super_admin.

Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.

Redazione

La Redazione di Red Hot Cyber fornisce aggiornamenti quotidiani su bug, data breach e minacce globali. Ogni contenuto è validato dalla nostra community di esperti come Pietro Melillo, Massimiliano Brolli, Sandro Sana, Olivia Terragni e Stefano Gazzella. Grazie alla sinergia con i nostri Partner leader nel settore (tra cui Accenture, CrowdStrike, Trend Micro e Fortinet), trasformiamo la complessità tecnica in consapevolezza collettiva, garantendo un'informazione accurata basata sull'analisi di fonti primarie e su una rigorosa peer-review tecnica.