リモートホストにインストールされている FortiWeb のバージョンは、テスト済みバージョンより前です。したがって、FG-IR-21-214 のアドバイザリに記載されている脆弱性の影響を受けます。

  - FortiWeb 6.4 のすべてのバージョン、6.3.0 ～ 6.3.16、6.2.0 ～ 6.2.6、6.1.0 ～ 6.1.2、6.0.0 ～ 6.0.7、5.9.0 ～ 5.9.1 では、セッション管理におけるセッション固定の脆弱性 [CWE-384] により、リモートで認証されていない攻撃者が他のユーザーのセッション識別子を推測し、そのセッションを乗っ取る可能性があります。(CVE-2021-42761)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Fortinet FortiWeb - WAF セッション ID の脆弱な生成による、セッション固定の発生 (FG-IR-21-214)

critical Nessus プラグイン ID 197611

バージョン 1.0