Podatność typu OS command injection w produktach Fortinet FortiSandbox pozwala nieuwierzytelnionemu atakującemu na wykonanie dowolnych poleceń systemowych poprzez spreparowane żądania HTTP. Krytyczny poziom zagrożenia (CVSS 9.8) wynika z braku konieczności posiadania jakichkolwiek uprawnień oraz możliwości zdalnego wykorzystania.
▸ Pokaż oryginał (EN)
A improper neutralization of special elements used in an os command ('os command injection') vulnerability in Fortinet FortiSandbox 5.0.0 through 5.0.5, FortiSandbox 4.4.0 through 4.4.8, FortiSandbox 4.2 all versions, FortiSandbox Cloud 5.0.4 through 5.0.5, FortiSandbox PaaS 5.0.4 through 5.0.5 may allow an unauthenticated attacker to execute unauthorized commands via specifically crafted HTTP requests
Luka polega na nieprawidłowej neutralizacji znaków specjalnych używanych w poleceniach systemu operacyjnego (CWE-78). Atakujący może wysłać specjalnie spreparowane żądanie HTTP zawierające złośliwe elementy, które nie są odpowiednio filtrowane przed przekazaniem do interpretera poleceń systemowych. Ponieważ exploit nie wymaga uwierzytelnienia ani interakcji użytkownika, atak może zostać przeprowadzony zdalnie przez sieć bez żadnych wstępnych warunków.
Atakujący może wykonać dowolne polecenia systemu operacyjnego na urządzeniu lub instancji chmurowej, co w praktyce może oznaczać pełne przejęcie kontroli nad systemem, wyciek danych, modyfikację konfiguracji lub zakłócenie dostępności usługi.
Należy zastosować patche dostępne u producenta zgodnie z referencjami (https://fortiguard.fortinet.com/psirt/FG-IR-26-141). Do czasu wdrożenia poprawek zaleca się ograniczenie dostępu do interfejsu HTTP/HTTPS urządzeń FortiSandbox wyłącznie do zaufanych adresów IP oraz monitorowanie ruchu sieciowego pod kątem anomalnych żądań HTTP.
Fortinet FortiSandbox 5.0.0–5.0.5, FortiSandbox 4.4.0–4.4.8, FortiSandbox 4.2 (wszystkie wersje), FortiSandbox Cloud 5.0.4–5.0.5, FortiSandbox PaaS 5.0.4–5.0.5
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HFortinet Fortisandbox
APPFortinet4.2.0 – 4.2.84.4.0 – 4.4.9 (bez)5.0.0 – 5.0.6 (bez)Fortinet Fortisandbox Cloud
APPFortinet5.0.4 – 5.0.6 (bez)Fortinet Fortisandbox Paas
APPFortinet5.0.4 – 5.0.6 (bez)
CISA KEV — szczegółyi
- Dostawcai
- Fortinet ↗
- Produkti
- FortiSandbox
- Data dodania do KEVi
- 16 lipca 2026
- Termin remediation (USA)i
- 19 lipca 2026(po terminie)
Zastosuj mitygacje zgodnie z instrukcjami producenta, zapewniając zgodność z wytycznymi CISA BOD 26-04 Prioritizing Security Updates Based on Risk (zobacz URL w Notatkach) i "Forensics Triage Requirements" (zobacz URL w Notatkach). Postępuj zgodnie z właściwymi wytycznymi BOD 26-04 dla usług w chmurze lub zaprzestań używania produktu, jeśli mitygacje są niedostępne. Interesariusze są odpowiedzialni za ocenę ekspozycji każdego zasobu na internet oraz zapewnienie zgodności z wytycznymi naprawiania BOD 26-04.
▸ Pokaż oryginał (EN)
Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
Fortinet FortiSandbox, FortiSandbox Cloud i FortiSandbox PaaS zawierają lukę OS command injection, która umożliwia nieuautentykowanemu atakującemu wykonanie nieuprawnionych poleceń poprzez specjalnie przygotowane żądania HTTP.
▸ Pokaż oryginał (EN)
Fortinet FortiSandbox, FortiSandbox Cloud, and FortiSandbox PaaS contain an OS command injection vulnerability that allows an unauthenticated attacker to execute unauthorized commands via specifically crafted HTTP requests.
Powiązane podatności
Command Injection w Fortinet FortiSandbox umożliwiający RCE
Brak autoryzacji w Fortinet FortiSandbox umożliwia zdalne wykonanie kodu
Path Traversal w Fortinet FortiSandbox umożliwiający privilege escalation
Fortinet FortiSandbox — nieautoryzowany dostęp do serwera VNC maszyn wirtualnych
An improper neutralization of special elements used in an os command ('os command injection') vulnerability in...