Aktywnie wykorzystywana w atakach
Fortinet FortiOS Out-of-Bound Write Vulnerability
Fortinet - FortiOS · Figuruje w katalogu CISA KEV od 2024-02-09. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.
CVE-2024-21762
KrytyczneCVSS 9.8KEVPrawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 100 - wyżej niż 100% wszystkich znanych CVE
Streszczenie
Podatność typu out-of-bounds write w Fortinet FortiOS i FortiProxy w wielu wersjach. Pozwala atakującemu na wykonanie nieautoryzowanego kodu lub poleceń poprzez specjalnie spreparowane żądania.
Ocena ryzyka
Możliwe zdalne wykonanie kodu na urządzeniach Fortinet, co może prowadzić do pełnego przejęcia systemu i naruszenia bezpieczeństwa sieci.
Rekomendacja
Zaktualizuj FortiOS i FortiProxy do najnowszych wersji zawierających poprawkę. W miarę możliwości ogranicz dostęp do interfejsów zarządzania.
Inne podatności w FortiOS / FortiProxy
Zobacz wszystkie- CVE-2026-84393Wysokie
Nieprawidłowa walidacja certyfikatu z niezgodnością nazwy hosta w Fortinet FortiOS 7.6.1 do 7.6.6 oraz FortiProxy 7.6.2 do 7.6.6 może umożliwić atakującemu ujawnienie informacji.
- CVE-2025-54822Średnie
Podatność na nieprawidłową autoryzację (CWE-285) w Fortinet FortiOS i FortiProxy pozwala uwierzytelnionemu atakującemu na dostęp do plików statycznych innych VDOM-ów za pomocą spreparowanych żądań HTTP lub HTTPS. Dotyczy wielu wersji FortiOS (7.4.0-7.4.1, 7.2.0-7.2.8, 7.0.0-7.0.11) oraz FortiProxy (7.4.0-7.4.8, 7.2, 7.0, 2.0).
- CVE-2023-22640Wysokie
Podatność typu out-of-bounds write w Fortinet FortiOS i FortiProxy pozwala uwierzytelnionemu atakującemu na wykonanie nieautoryzowanego kodu lub poleceń poprzez specjalnie spreparowane żądania.
- CVE-2022-42476Wysokie
Podatność względnego przejścia ścieżki (CWE-23) w Fortinet FortiOS (7.2.0–7.2.3, 7.0.0–7.0.8, 6.4.0–6.4.11, 6.2.0–6.2.12) oraz FortiProxy (7.2.0–7.2.1, 7.0.0–7.0.7, 2.0.0–2.0.11, 1.2, 01.02, 1.1, 01.01) pozwala uprzywilejowanym administratorom VDOM eskalować uprawnienia do superadministratora urządzenia za pomocą spreparowanych żądań CLI.
- CVE-2022-42472Średnie
Fortinet FortiOS i FortiProxy zawierają podatność niewłaściwej neutralizacji sekwencji CRLF w nagłówkach HTTP (HTTP response splitting). Uwierzytelniony zdalny atakujący może przeprowadzić atak rozdzielenia odpowiedzi HTTP i przejąć kontrolę nad pozostałymi nagłówkami oraz treścią odpowiedzi.
Oryginalny opis (angielski, źródło NVD)
A out-of-bounds write vulnerability in Fortinet FortiOS 7.4.0 through 7.4.2, FortiOS 7.2.0 through 7.2.6, FortiOS 7.0.0 through 7.0.13, FortiOS 6.4.0 through 6.4.14, FortiOS 6.2.0 through 6.2.15, FortiOS 6.0 all versions, FortiProxy 7.4.0 through 7.4.2, FortiProxy 7.2.0 through 7.2.8, FortiProxy 7.0.0 through 7.0.14, FortiProxy 2.0.0 through 2.0.13, FortiProxy 01.02 all versions, FortiProxy 1.2 all versions, FortiProxy 01.01 all versions, FortiProxy 1.1 all versions, FortiProxy 01.00 all versions allows attacker to execute unauthorized code or commands via specifically crafted requests
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS