CVE-2024-50571
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 45 - wyżej niż 45% wszystkich znanych CVE
Streszczenie
Fortinet FortiAnalyzer, FortiManager, FortiOS i FortiProxy zawierają podatność przepełnienia bufora opartego na stercie. Atakujący może wykonać nieautoryzowany kod lub polecenia poprzez specjalnie spreparowane żądania.
Ocena ryzyka
Może to prowadzić do przejęcia kontroli nad urządzeniem i wykonania dowolnych poleceń. Stanowi poważne zagrożenie dla bezpieczeństwa infrastruktury sieciowej.
Rekomendacja
Należy jak najszybciej zaktualizować wszystkie wymienione produkty Fortinet do najnowszych wersji zawierających poprawki. Zaleca się również ograniczenie dostępu do interfejsów zarządzania.
Inne podatności w FortiAnalyzer
Zobacz wszystkie- CVE-2025-46773Wysokie
Podatność typu SQL Injection (CWE-89) w Fortinet FortiAnalyzer w wersjach 7.6.0–7.6.4, 7.4.0–7.4.7, 7.2 (wszystkie wersje) oraz FortiAnalyzer Cloud 7.6.2–7.6.4, 7.4.1–7.4.7, 7.2.1–7.2.11 może pozwolić użytkownikowi o niskich uprawnieniach na wykonanie dowolnych poleceń poprzez spreparowane żądania.
- CVE-2026-84391Średnie
W Fortinet FortiAnalyzer w wersjach 7.6.3 do 7.6.6 występuje podatność polegająca na użyciu niezainicjalizowanej zmiennej, która może pozwolić atakującemu na spowodowanie odmowy usługi. Szczegóły wektora ataku nie zostały podane.
- CVE-2025-61848Wysokie
Podatność na wstrzyknięcie SQL w Fortinet FortiAnalyzer, FortiManager i powiązanych produktach (wymienione wersje) może pozwolić uprzywilejowanemu uwierzytelnionemu atakującemu na wykonanie nieautoryzowanego kodu lub poleceń przez API JSON RPC.
- CVE-2025-54973Średnie
Podatność typu wyścig (race condition) w Fortinet FortiAnalyzer umożliwia atakującemu obejście autoryzacji FortiCloud SSO poprzez spreparowane żądania. Dotyczy wersji 7.0.0-7.0.13, 7.2.0-7.2.10, 7.4.0-7.4.6, 7.6.0-7.6.2.
Oryginalny opis (angielski, źródło NVD)
A heap-based buffer overflow vulnerability in Fortinet FortiAnalyzer 7.6.0 through 7.6.2, FortiAnalyzer 7.4.0 through 7.4.5, FortiAnalyzer 7.2.0 through 7.2.9, FortiAnalyzer 7.0.0 through 7.0.13, FortiAnalyzer 6.4 all versions, FortiAnalyzer 6.2 all versions, FortiAnalyzer 6.0 all versions, FortiAnalyzer Cloud 7.4.1 through 7.4.5, FortiAnalyzer Cloud 7.2.1 through 7.2.9, FortiAnalyzer Cloud 7.0.1 through 7.0.13, FortiAnalyzer Cloud 6.4 all versions, FortiManager 7.6.0 through 7.6.1, FortiManager 7.4.0 through 7.4.5, FortiManager 7.2.0 through 7.2.9, FortiManager 7.0.0 through 7.0.13, FortiManager 6.4 all versions, FortiManager 6.2 all versions, FortiManager 6.0 all versions, FortiManager Cloud 7.6.2, FortiManager Cloud 7.4.1 through 7.4.5, FortiManager Cloud 7.2.1 through 7.2.9, FortiManager Cloud 7.0.1 through 7.0.13, FortiManager Cloud 6.4 all versions, FortiOS 7.6.0 through 7.6.2, FortiOS 7.4.0 through 7.4.6, FortiOS 7.2.0 through 7.2.10, FortiOS 7.0.0 through 7.0.16, FortiOS 6.4.0 through 6.4.15, FortiOS 6.2 all versions, FortiProxy 7.6.0 through 7.6.1, FortiProxy 7.4.0 through 7.4.7, FortiProxy 7.2.0 through 7.2.12, FortiProxy 7.0.0 through 7.0.19, FortiProxy 2.0 all versions, FortiProxy 01.02 all versions, FortiProxy 1.2 all versions, FortiProxy 01.01 all versions, FortiProxy 1.1 all versions, FortiProxy 01.00 all versions allows attacker to execute unauthorized code or commands via specifically crafted requests.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS