FortiWeb z krytyczną luką OS Command Injection!
FortiWeb z krytyczną luką OS Command Injection!
Ważna informacja dla użytkowników FortiWeb, systemu WAF od Fortinet. Zidentyfikowano krytyczną lukę, która umożliwia atakującym wykonywanie dowolnych poleceń systemowych jako root. Wykorzystanie tej podatności wymaga wysłania żądania POST, w którym wartość pola name zawiera przemycone polecenie.
Przykładowy kod, który może zostać wykorzystany do przeprowadzenia ataku, wygląda następująco: snprintf(buf,0x200,”cp %s %s/%s/%s.%s”,path,”/data/etc/saml/shibboleth/service_providers”,name,“Metadata”,&DAT_00212758);iVar1 = system(buf);return iVar1;. Tego typu ataki mogą prowadzić do poważnych konsekwencji dla bezpieczeństwa systemu.
Fortinet zapowiedział, że poprawka dla tej luki pojawi się w wersji 6.4.1 FortiWeb, która ma być wydana pod koniec tego miesiąca. Użytkownicy powinni zaktualizować swoje systemy, aby uniknąć potencjalnych zagrożeń.
Na podstawie: Źródła
