CVE-2025-53379
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 42 - wyżej niż 42% wszystkich znanych CVE
Streszczenie
Podatność poza zakresem odczytu w Fortinet FortiAuthenticator w wersjach 6.6.0 do 6.6.2 oraz we wszystkich wersjach 6.5 może umożliwić zdalnemu, nieuwierzytelnionemu atakującemu odczytanie wrażliwych informacji poprzez specjalnie spreparowane żądanie.
Ocena ryzyka
Ryzyko polega na możliwości wycieku poufnych danych, takich jak hasła czy klucze, bez konieczności posiadania uwierzytelnienia, co może prowadzić do naruszenia bezpieczeństwa całej infrastruktury.
Rekomendacja
Zaleca się natychmiastową aktualizację Fortinet FortiAuthenticator do wersji 6.6.3 lub nowszej, a w przypadku wersji 6.5 do wersji 6.5.4 lub nowszej, oraz wdrożenie reguł firewall blokujących nieautoryzowane żądania.
Inne podatności w FortiAuthenticator
Zobacz wszystkie- CVE-2013-6990Wysokie
FortiAuthenticator w wersji przed 3.0 umożliwia zdalnym administratorom uzyskanie uprawnień poprzez interfejs wiersza poleceń.
- CVE-2025-59923Niskie
W Fortinet FortiAuthenticator w wersjach 6.6.0 do 6.6.6, 6.5 wszystkich wersjach, 6.4 wszystkich wersjach oraz 6.3 wszystkich wersjach występuje niewłaściwa kontrola dostępu. Uwierzytelniony atakujący z co najmniej uprawnieniami tylko do odczytu może uzyskać poświadczenia usług komunikacyjnych innych administratorów za pomocą spreparowanych żądań.
- CVE-2025-57823Niskie
Fortinet FortiAuthenticator w wersjach 6.6.0-6.6.6 oraz 6.5, 6.4, 6.3 (wszystkie wersje) ma podatność na bezpośrednie żądanie (forced browsing), która pozwala uwierzytelnionemu atakującemu z uprawnieniami co najmniej sponsora na odczyt i pobieranie logów urządzenia poprzez dostęp do określonych punktów końcowych.
Oryginalny opis (angielski, źródło NVD)
A out-of-bounds read vulnerability in Fortinet FortiAuthenticator 6.6.0 through 6.6.2, FortiAuthenticator 6.5 all versions may allow a remote unauthenticated attacker to retrieve sensitive information via a specially crafted request.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS