CVE-2021-22131: A improper validation of certificate with host mismatch in Fortinet FortiTokenAndroid version 5.0.3 and below, Fortinet FortiTokeniOS versio

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• fortinet fortitoken mobile0.4.10
• fortinet fortitoken mobile0.4.20
• fortinet fortitoken mobile3.0.0
• fortinet fortitoken mobile3.0.1
• fortinet fortitoken mobile3.0.2
• fortinet fortitoken mobile3.0.3
• fortinet fortitoken mobile3.0.4
• fortinet fortitoken mobile3.0.5
• fortinet fortitoken mobile4.0.0
• fortinet fortitoken mobile4.0.1
• fortinet fortitoken mobile4.0.3
• fortinet fortitoken mobile4.1.0
• fortinet fortitoken mobile4.1.1
• fortinet fortitoken mobile4.2.0
• fortinet fortitoken mobile4.2.1
• fortinet fortitoken mobile4.2.2
• fortinet fortitoken mobile4.3.0
• fortinet fortitoken mobile4.4.0
• fortinet fortitoken mobile4.5.0
• fortinet fortitoken mobile5.0.2

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (fortinet). Не зависят от анализа CPE в NVD и обычно опережают его.

• Fortinet Fortinet FortiTokenAndroid, Fortinet FortiTokeniOS, Fortinet FortiTokenWinApp

  • FortiTokenAndroid 5.0.3, 5.0.2, 4.5.0, 4.4.0, 4.3.0, 4.2.2, 4.2.1, 4.1.1, 4.0.1, 4.0.0, 3.0.4, 3.0.3, 3.0.2, 3.0.1, 3.0.0, 0.4.20, 0.4.10, FortiTokeniOS 5.2.0, 4.3.0, 4.2.0, 4.1.1, 3.0.5, 3.0.4, 3.0.3затронута

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2026-44279An improper export of android application components vulnerability in Fortinet FortiTokenAndroid 6.2 all versions, FortiTokenAndroid 6.1 all
  22Наблюдать
• CVE-2021-44166An improper access control vulnerability [CWE-284 ] in FortiToken Mobile (Android) external push notification 5.1.0 and below may allow a re
  16Наблюдать

Первопричина

Ошибка проверки сертификата незаметно подавляется вместо разрыва соединения. Часто это код, добавленный для тестовой среды и попавший в продуктивную.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1override fun checkServerTrusted(chain: Array<X509Certificate>, type: String) {2  // Оставлено пустым для тестовой среды3}

1val client = OkHttpClient.Builder()2  .certificatePinner(3    CertificatePinner.Builder()4      .add("api.sirius.example", "sha256/…")5      .build()6  ).build()

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.