CVE-2024-23109

Command Injection w Fortinet FortiSIEM umożliwiający zdalne wykonanie kodu

CVSS 10.0v3.1pub. 2024-02-05upd. 2026-01-14

Podatność typu OS command injection w Fortinet FortiSIEM pozwala nieuwierzytelnionemu atakującemu na wykonanie dowolnych poleceń systemowych za pośrednictwem sieci. Ocena CVSS 10.0 wskazuje na maksymalne ryzyko — brak wymagań co do uprawnień czy interakcji użytkownika czyni tę podatność wyjątkowo niebezpieczną.

▸ Pokaż oryginał (EN)

An improper neutralization of special elements used in an os command ('os command injection') vulnerability in Fortinet allows attacker to execute unauthorized code or commands via via crafted API requests.

🤖 Analiza AI

Jak działa

Podatność wynika z nieprawidłowej neutralizacji znaków specjalnych w danych przekazywanych do poleceń systemu operacyjnego (CWE-78). Atakujący może wysłać specjalnie spreparowane żądania API do podatnego systemu FortiSIEM, które zawierają złośliwe elementy interpretowane następnie jako polecenia systemowe. Brak wymogu uwierzytelnienia oraz sieciowy wektor ataku sprawiają, że exploit może być przeprowadzony przez dowolną osobę mającą dostęp do interfejsu API produktu.

Skutki

Atakujący może wykonać nieautoryzowany kod lub polecenia systemowe na serwerze, co w praktyce oznacza pełne przejęcie kontroli nad urządzeniem, możliwość naruszenia poufności i integralności danych oraz doprowadzenie do niedostępności usługi.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami opublikowanymi przez Fortinet pod adresem https://fortiguard.com/psirt/FG-IR-23-130. Do czasu wdrożenia aktualizacji zaleca się ograniczenie dostępu do interfejsu API FortiSIEM wyłącznie do zaufanych adresów IP.