CVE-2023-44254

Nome do software vulnerável e versões afetadas:

Versões do FortiAnalyzer 7.2.5 a 7.4.1

Versões do FortiManager 7.2.5 a 7.4.1

Descrição:

O problema está relacionado a uma burla de autorização por meio de uma chave controlada pelo usuário, permitindo que um invasor remoto com privilégios limitados leia dados confidenciais por meio de uma solicitação HTTP maliciosa. Isso pode ser feito explorando a vulnerabilidade com uma solicitação HTTP especialmente projetada.

Recomendações:

Para as versões 7.2.5 a 7.4.1 do FortiAnalyzer, considere desativar o acesso a dados confidenciais até que uma correção esteja disponível.

Para as versões 7.2.5 a 7.4.1 do FortiManager, restrinja o acesso ao módulo afetado para minimizar o risco de exploração.

Como solução alternativa temporária, evite usar chaves controladas pelo usuário nos pontos de extremidade da API afetados até que o problema seja resolvido.