A improper neutralization of special elements used in an os command ('os command injection') vulnerability in Fortinet FortiManager Cloud 7.

Etkilenen sürümler

NVD sürüm aralıkları (katalogdaki ürünler için). Stack’ine sürümle eklersen eşleşme bunlarla yapılır.

• fortinet fortimanager7.2.1 ve sonrası · 7.2.9 öncesi
• fortinet fortimanager7.4.0 ve sonrası · 7.4.6 öncesi
• fortinet fortimanager7.6.0 ve sonrası · 7.6.2 öncesi
• fortinet fortimanager cloud7.2.2 ve sonrası · 7.2.8 öncesi
• fortinet fortimanager cloud7.4.0 ve sonrası · 7.4.5 öncesi
• fortinet fortimanager cloud7.6.0 ve sonrası · 7.6.2 öncesi

Üreticinin bildirdiği sürümler

Kaydı açan otorite (fortinet) tarafından bildirilen etkilenen sürüm aralıkları. NVD'nin CPE analizinden bağımsızdır ve genellikle ondan önce gelir.

• Fortinet FortiManager

  • 7.6.0 ve sonrası · 7.6.1 dahil öncesietkilenir · semver
  • 7.4.0 ve sonrası · 7.4.5 dahil öncesietkilenir · semver
  • 7.2.1 ve sonrası · 7.2.8 dahil öncesietkilenir · semver

• Fortinet FortiManager Cloud

  • 7.4.1 ve sonrası · 7.4.4 dahil öncesietkilenir · semver
  • 7.2.2 ve sonrası · 7.2.7 dahil öncesietkilenir · semver

Aynı birincil ürünün en yüksek skorlu diğer kayıtları.

• CVE-2024-47575A missing authentication for critical function in FortiManager 7.6.0, FortiManager 7.4.0 through 7.4.4, FortiManager 7.2.0 through 7.2.7, FoKEV
  97Hemen
• CVE-2024-48884A improper limitation of a pathname to a restricted directory ('path traversal') vulnerability in Fortinet FortiManager 7.6.0 through 7.6.1,
  41Planlayın
• CVE-2015-3613A vulnerability exists in in FortiManager 5.2.1 and earlier and 5.0.10 and earlier in the WebUI FTP backup page
  40Planlayın
• CVE-2024-47571An operation on a resource after expiration or release in Fortinet FortiManager 6.4.12 through 7.4.0 allows an attacker to gain improper acc
  39İzleyin
• CVE-2023-36554A improper access control in Fortinet FortiManager version 7.4.0, version 7.2.0 through 7.2.3, version 7.0.0 through 7.0.10, version 6.4.0 t
  39İzleyin
• CVE-2019-6695Lack of root file system integrity checking in Fortinet FortiManager VM application images of 6.2.0, 6.0.6 and below may allow an attacker t
  39İzleyin

FIRST EPSS günlük puanı; yalnızca 0,01 ve üstü değişimler kaydedilir (adım grafiği).

Kök neden

Kullanıcı girdisi, bir kabuk komutunun içine metin olarak yerleştiriliyor. Kabuk, girdideki özel karakterleri komutun parçası olarak yorumlayabilir.

Bu zafiyet sınıfının temsili örneği. Üreticinin kaynak kodu değildir; hatalı kalıbı ve düzeltmesini gösterir.

1const host = req.body.host;2exec("ping -c 1 " + host, onResult);

1const host = req.body.host;2if (!/^[a-z0-9.-]{1,253}$/i.test(host)) return res.sendStatus(400);3execFile("ping", ["-c", "1", host], onResult);

Saldırı bağlamı

Bu zafiyet sınıfının (CWE) MITRE CAPEC saldırı desenleri ve ATT&CK teknikleri. Tespit kuralı ve tehdit avı için başlangıç noktası.