Компания Fortinet исправила уязвимость в своем межсетевом экране FortiWeb, предназначенном для защиты веб-приложений.
Ошибка получила идентификатор CVE-2021-22123 и оценку 7,4 по шкале оценки уязвимостей CVSSv3, что соответствует высокому уровню опасности. Для устранения уязвимости необходимо обновить FortiWeb 6.3.7 (и ниже), 6.2.3 (и ниже), 6.1.x, 6.0.x, 5.9.x до версий 6.3.8 или 6.2.4 (в зависимости от используемой редакции продукта).
За обнаружение бага разработчики поблагодарили эксперта компании Positive Technologies Андрея Медова. Эксперт рассказывает о бага более детально:
«Уязвимость внедрения команд в интерфейсе управления FortiWeb может позволить удаленному злоумышленнику, прошедшему проверку подлинности, выполнять произвольные команды в системе через страницу конфигурации сервера SAML. Выполнение команд с максимальными привилегиями приведет к получению атакующим полного контроля над сервером. Если же в результате неправильной настройки интерфейс администрирования межсетевого экрана окажется доступен в интернете, а сам продукт не будет обновлен до последних версий, то комбинация CVE-2021-22123 и обнаруженной нами ранее ошибки CVE-2020-29015 может позволить атакующему проникнуть во внутреннюю сеть».
Исследователи напоминают, что в феврале 2021 года Fortinet исправила четыре уязвимости в FortiWeb, включая вышеупомянутый баг CVE-2020-29015, так же выявленные Андреем Медовым.
