ГлавнаяБаза уязвимостей БДУ → BDU:2024-11387
10критическая

BDU:2024-11387

Уязвимость обработчика параметра imagename в CGI-скрипте /ems/cgi-bin/ezrf_lighttpd.cgi графического интерфейса системы централизованного управления точками доступа WLAN и коммутаторами LAN Fortinet FortiWLM, позволяющая нарушителю выполнить произвольный код
Опубликовано: 2024-12-20
Описание

Уязвимость обработчика параметра imagename в CGI-скрипте /ems/cgi-bin/ezrf_lighttpd.cgi графического интерфейса системы централизованного управления точками доступа WLAN и коммутаторами LAN Fortinet FortiWLM связана с неверным ограничением имени пути к каталогу с ограниченным доступом. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код путём отправки специально сформированных веб-запросов

Затрагиваемое ПО и версии
FortiWLM (от 8.6.0 до 8.6.6)FortiWLM (от 8.5.0 до 8.5.5)
Способ устранения

Установка обновлений из доверенных источников.
В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:
- использование средств межсетевого экранирования уровня веб-приложений для фильтрации сетевых запросов;
- использование средств обнаружения и предотвращения вторжений (IDS/IPS) для отслеживания попыток эксплуатации уязвимости;
- использование SIEM-систем для выявления попыток эксплуатации уязвимости.

Использование рекомендаций:
https://fortiguard.com/psirt/FG-IR-23-144

Оценка CVSS
Балл10 — критическая опасность
Источники и патчи
https://fortiguard.com/psirt/FG-IR-23-144https://www.horizon3.ai/attack-research/disclosures/fortiwlm-the-almost-story-for-the-forti-forty
Проверьте безопасность своего сайта и почты → Полная проверка домена