CVE-2026-44278
NiskieCVSS 2.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 1 - wyżej niż 1% wszystkich znanych CVE
Streszczenie
W Fortinet FortiClientWindows w wersjach 7.4.0 do 7.4.2 oraz 7.2 wszystkich wersji występuje użycie zaszytego klucza kryptograficznego. Może to umożliwić atakującemu ujawnienie informacji.
Ocena ryzyka
Zaszyty klucz kryptograficzny może zostać wykorzystany przez atakującego do uzyskania dostępu do chronionych informacji.
Rekomendacja
Zaktualizuj FortiClientWindows do wersji zawierającej poprawkę lub skontaktuj się z dostawcą w celu uzyskania wytycznych.
Inne podatności w FortiClientWindows
Zobacz wszystkie- CVE-2026-84386Średnie
Podatność niezweryfikowanej własności w Fortinet FortiClientWindows 7.4.0 do 7.4.7 oraz 7.2 (wszystkie wersje) może pozwolić atakującemu na nieprawidłową kontrolę dostępu przez wystawiony port komunikacyjny minifilter.
- CVE-2025-54660Średnie
FortiClientWindows w wersjach 7.4.0-7.4.3, 7.2.0-7.2.10 oraz 7.0 (wszystkie wersje) zawiera aktywny kod debugowania, który może pozwolić lokalnemu atakującemu na uruchomienie aplikacji krok po kroku i odzyskanie zapisanego hasła użytkownika VPN.
- CVE-2025-47761Wysokie
Podatność Exposed IOCTL with Insufficient Access Control (CWE-782) w Fortinet FortiClientWindows 7.4.0–7.4.3 oraz 7.2.0–7.2.9 może pozwolić uwierzytelnionemu lokalnemu użytkownikowi na wykonanie nieautoryzowanego kodu przez sterownik fortips. Skuteczny atak wymaga obejścia zabezpieczeń pamięci Windows, takich jak integralność sterty i HSP, oraz aktywnego połączenia VPN IPSec.
- CVE-2025-46373Wysokie
W Fortinet FortiClientWindows w wersjach 7.4.0–7.4.3 oraz 7.2.0–7.2.8 występuje przepełnienie bufora na stercie (CWE-122) w sterowniku fortips_74.sys. Uwierzytelniony lokalny użytkownik IPSec może wykonać dowolny kod lub polecenia, jeśli obejdzie mechanizmy ochrony integralności sterty Windows.
Oryginalny opis (angielski, źródło NVD)
A use of hard-coded cryptographic key vulnerability in Fortinet FortiClientWindows 7.4.0 through 7.4.2, FortiClientWindows 7.2 all versions may allow attacker to information disclosure via <insert attack vector here>
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS