Aktywnie wykorzystywana w atakach
Fortinet FortiOS Use of Hard-Coded Credentials Vulnerability
Fortinet - FortiOS · Figuruje w katalogu CISA KEV od 2025-06-25. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
CVE-2019-6693
ŚrednieCVSS 6.5KEVPrawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 92 - wyżej niż 92% wszystkich znanych CVE
Streszczenie
Użycie twardo zakodowanego klucza kryptograficznego do szyfrowania wrażliwych danych w pliku kopii zapasowej konfiguracji FortiOS może pozwolić atakującemu z dostępem do pliku na odszyfrowanie danych, znając klucz. Dane obejmują hasła użytkowników (oprócz hasła administratora), frazy kluczy prywatnych i hasło High Availability (jeśli ustawione).
Ocena ryzyka
Ryzyko polega na możliwości ujawnienia poufnych danych uwierzytelniających, co może prowadzić do nieautoryzowanego dostępu do systemu i naruszenia bezpieczeństwa.
Rekomendacja
Zaleca się zmianę domyślnego klucza szyfrowania, jeśli to możliwe, oraz zabezpieczenie plików kopii zapasowych przed nieautoryzowanym dostępem.
Oryginalny opis (angielski, źródło NVD)
Use of a hard-coded cryptographic key to cipher sensitive data in FortiOS configuration backup file may allow an attacker with access to the backup file to decipher the sensitive data, via knowledge of the hard-coded key. The aforementioned sensitive data includes users' passwords (except the administrator's password), private keys' passphrases and High Availability password (when set).