CVE-2025-67604
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 35 - wyżej niż 35% wszystkich znanych CVE
Streszczenie
Podatność typu use of potentially dangerous function w Fortinet FortiAnalyzer i FortiManager pozwala uwierzytelnionemu atakującemu na zawieszenie systemu poprzez wysłanie wielu specjalnie spreparowanych żądań HTTP powodujących awarie. Wystąpienie podatności zależy od wyrównania wewnętrznych blokad, na co atakujący nie ma wpływu.
Ocena ryzyka
Uwierzytelniony atakujący może doprowadzić do zawieszenia systemu FortiAnalyzer lub FortiManager, co może zakłócić działanie monitoringu i zarządzania bezpieczeństwem w organizacji.
Rekomendacja
Zaktualizuj FortiAnalyzer i FortiManager do najnowszych wersji, które nie zawierają tej podatności, zgodnie z zaleceniami producenta Fortinet.
Inne podatności w Fortinet FortiAnalyzer/FortiManager
Zobacz wszystkie- CVE-2026-23707Wysokie
Podatność SQL Injection (CWE-89) w Fortinet FortiAnalyzer i FortiManager (w tym wersje Cloud) pozwala użytkownikowi o niskich uprawnieniach na wykonanie dowolnych poleceń poprzez spreparowane żądania. Dotyczy wielu wersji oprogramowania Fortinet.
- CVE-2026-23705Wysokie
Podatność SQL Injection (CWE-89) w Fortinet FortiAnalyzer i FortiManager pozwala użytkownikowi o niskich uprawnieniach na wykonanie dowolnych poleceń poprzez spreparowane żądania. Dotyczy wielu wersji tych produktów.
- CVE-2025-68649Średnie
Podatność path traversal w Fortinet FortiAnalyzer, FortiAnalyzer Cloud, FortiManager i FortiManager Cloud pozwala uprzywilejowanemu atakującemu na usuwanie plików z systemu plików poprzez spreparowane żądania CLI. Problem wynika z niewłaściwego ograniczenia ścieżki do katalogu restricted.
Oryginalny opis (angielski, źródło NVD)
A use of potentially dangerous function vulnerability in Fortinet FortiAnalyzer 7.6.0 through 7.6.4, FortiAnalyzer 7.4.0 through 7.4.8, FortiAnalyzer 7.2 all versions, FortiAnalyzer 7.0 all versions, FortiAnalyzer 6.4 all versions, FortiManager 7.6.0 through 7.6.4, FortiManager 7.4.0 through 7.4.8, FortiManager 7.2 all versions, FortiManager 7.0 all versions, FortiManager 6.4 all versions may allow an authenticated attacker to cause a system hang via multiple specially crafted HTTP requests causing crashes. This happens if internal locks are aligned, which is out of control of the attacker.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS