高危 Fortinet FortiManager 身份认证绕过致代码执行漏洞(CVE-2024-47575)

CVE编号

CVE-2024-47575

利用情况

暂无

补丁情况

官方补丁

披露时间

2024-10-23
漏洞描述
FortiManager 提供了统一的管理,主要优势包括使用最佳实践模板加速零接触配置,支持大规模部署 SD-WAN,简化 Fortinet Security Fabric 之间的工作流程。2024年10月,官方披露 CVE-2024-47575 Fortinet FortiManager 身份认证绕过漏洞,由于某些接口或者功能存在关键的认证缺失,攻击者可以通过恶意构造的请求绕过身份认证,从而执行任意命令。
解决建议
官方已经发布安全更新与新版本,建议升级至最新版本。
受影响软件情况
# 类型 厂商 产品 版本 影响面
1
运行在以下环境
应用 fortinet fortimanager * From
(including)
6.2.0
Up to
(excluding)
6.2.13
运行在以下环境
应用 fortinet fortimanager * From
(including)
6.4.0
Up to
(excluding)
6.4.15
运行在以下环境
应用 fortinet fortimanager * From
(including)
7.0.0
Up to
(excluding)
7.0.13
运行在以下环境
应用 fortinet fortimanager * From
(including)
7.2.0
Up to
(excluding)
7.2.8
运行在以下环境
应用 fortinet fortimanager * From
(including)
7.4.0
Up to
(excluding)
7.4.5
运行在以下环境
应用 fortinet fortimanager 7.6.0 -
运行在以下环境
应用 fortinet fortimanager_cloud * From
(including)
6.4.1
Up to
(including)
6.4.7
运行在以下环境
应用 fortinet fortimanager_cloud * From
(including)
7.0.1
Up to
(excluding)
7.0.13
运行在以下环境
应用 fortinet fortimanager_cloud * From
(including)
7.2.1
Up to
(excluding)
7.2.8
运行在以下环境
应用 fortinet fortimanager_cloud * From
(including)
7.4.1
Up to
(excluding)
7.4.5
阿里云评分
7.0
  • 攻击路径
    远程
  • 攻击复杂度
    容易
  • 权限要求
    无需权限
  • 影响范围
    越权影响
  • EXP成熟度
    未验证
  • 补丁情况
    官方补丁
  • 数据保密性
    数据泄露
  • 数据完整性
    传输被破坏
  • 服务器危害
    服务器失陷
  • 全网数量
    N/A
CWE-ID 漏洞类型
CWE-306 关键功能的认证机制缺失
阿里云安全产品覆盖情况