Martedì Fortinet ha informato i clienti di 5 nuove vulnerabilità scoperte nei prodotti dell’azienda, inclusi 2 difetti a cui è stato assegnato un livello di gravità “alto”.
Uno dei problemi più gravi interessa FortiADC e consente a un utente malintenzionato autenticato con accesso alla GUI Web di eseguire comandi tramite richieste HTTP appositamente predisposte.
Tracciato come CVE-2022-39947 (punteggio CVSS di 8,6), il difetto consente a un utente malintenzionato autenticato remoto di eseguire codice arbitrario sul sistema, causato da una vulnerabilità di iniezione di comandi del sistema operativo.
“Una improper neutralization di elementi speciali del sistema operativo di FortiADC può consentire a un utente malintenzionato autenticato con accesso alla GUI Web di eseguire codice o comandi non autorizzati tramite richieste HTTP appositamente predisposte”
La CVE-2022-39947 interessa le versioni FortiADC 5.4.x, 6.0.x, 6.1.x, 6.2.x e 7.0.x e verrà aggiornato con il rilascio di FortiADC 6.2.4 e 7.0.2.
Un altro difetto di gravità elevata, tracciato come CVE-2022-35845 (punteggio CVSS di 7,6), è descritto come una vulnerabilità di command injection nella GUI e nell’API di FortiTester e causato da improper neutralization. Il bug interessa le versioni 2.xx, 3.xx, 4.xx, 7.x e 7.1.0 di FortiTester ed è stato corretto con il rilascio delle versioni 3.9.2, 4.2.1, 7.1.1 e 7.2 di FortiTester. 0.
Gli altri 3 difetti sono:
- FG-IR-22-250 : una improper neutralization delle sequenze CRLF nelle intestazioni HTTP (vulnerabilità ‘HTTP Response Splitting’) [CWE-113] nell’API FortiWeb può consentire a un utente malintenzionato autenticato e remoto di inserire intestazioni arbitrarie.
- CVE-2022-41336: una improper neutralization dell’input durante la vulnerabilità della generazione di pagine Web [CWE-79] nell’interfaccia di gestione di FortiPortal può consentire a un utente malintenzionato autenticato in remoto di eseguire un attacco XSS (stored cross-site scripting) inviando una richiesta con un parametro columnindex appositamente predisposto.
- CVE-2022-45857: una vulnerabilità di gestione degli utenti errata [CWE-286] nel componente di creazione VDOM di FortiManager potrebbe consentire a un utente malintenzionato di accedere a un FortiGate senza una password tramite VDOM appena creati dopo l’eliminazione dell’account amministratore con profilo super_admin.
