CVE-2024-45331

WysokieCVSS 7.3

Opublikowano: 16/01/2025(UTC)Zaktualizowano: 08/07/2026(UTC)Przetłumaczono: 09/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.20%

Percentyl 10 - wyżej niż 10% wszystkich znanych CVE

Streszczenie

Podatność w Fortinet FortiAnalyzer i FortiManager umożliwia atakującemu eskalację uprawnień poprzez wykonanie określonych poleceń powłoki. Błąd wynika z nieprawidłowego przypisania uprawnień w wielu wersjach tych produktów.

Ocena ryzyka

Atakujący z niskimi uprawnieniami może uzyskać nieautoryzowany dostęp do funkcji administracyjnych, co prowadzi do pełnej kompromitacji urządzenia i potencjalnego przejęcia kontroli nad zarządzaną infrastrukturą sieciową.

Rekomendacja

Należy niezwłocznie zaktualizować FortiAnalyzer i FortiManager do wersji zawierających poprawkę bezpieczeństwa. W międzyczasie ograniczyć dostęp do powłoki systemowej tylko dla zaufanych administratorów.

Inne podatności w FortiAnalyzer / FortiManager

CVE-2024-35276Średnie
Podatność przepełnienia bufora na stosie w Fortinet FortiAnalyzer i FortiManager umożliwia zdalnemu atakującemu wykonanie nieautoryzowanego kodu lub poleceń poprzez specjalnie spreparowane pakiety sieciowe. Problem dotyczy wielu wersji tych produktów, w tym chmurowych wariantów.

Oryginalny opis (angielski, źródło NVD)

A incorrect privilege assignment vulnerability in Fortinet FortiAnalyzer 7.4.0 through 7.4.3, FortiAnalyzer 7.2.0 through 7.2.5, FortiAnalyzer 7.0 all versions, FortiAnalyzer 6.4 all versions, FortiAnalyzer Cloud 7.4.1 through 7.4.2, FortiAnalyzer Cloud 7.2.1 through 7.2.6, FortiAnalyzer Cloud 7.0 all versions, FortiAnalyzer Cloud 6.4 all versions, FortiManager 7.4.0 through 7.4.3, FortiManager 7.2.0 through 7.2.5, FortiManager 7.0 all versions, FortiManager 6.4 all versions allows attacker to escalate privilege via specific shell commands

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS