PT-2021-3438
CVE-2020-29015
·
Publicado
2021-01-04
·
Atualizado
2023-08-25
Descrição por
CVSS 3.1
10
CríticaMétricasAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Nome do software vulnerável e versões afetadas
Versões do FortiWeb 6.3.0 a 6.3.7
Versões do FortiWeb anteriores à 6.2.4
Versões do FortiWeb 6.3.11 e anteriores
Descrição
Uma injeção SQL cega na interface do usuário do FortiWeb pode permitir que um invasor remoto não autenticado execute consultas ou comandos SQL arbitrários enviando uma solicitação com um cabeçalho
Authorization manipulado contendo uma instrução SQL maliciosa. A vulnerabilidade está relacionada à falta de proteção da estrutura da consulta SQL. A Rapid7 revelou que essa vulnerabilidade concede controle total sobre o dispositivo afetado.Recomendações
Para as versões 6.3.0 a 6.3.7 do FortiWeb, considere desativar o cabeçalho
Authorization até que um patch esteja disponível.Para as versões do FortiWeb anteriores à 6.2.4, restrinja o acesso à interface do usuário para minimizar o risco de exploração.
Para as versões 6.3.11 e anteriores do FortiWeb, evite usar o cabeçalho
Authorization no endpoint da API afetado até que o problema seja resolvido.No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.
Impactos
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾