リモートホストにインストールされている FortiWeb のバージョンは、テスト済みバージョンより前です。したがって、FG-IR-22-163 のアドバイザリに記載されている脆弱性の影響を受けます。

  - FortiWeb 7.0.0 ～ 7.0.1、6.3.0 ～ 6.3.19、6.4 のすべてのバージョンでは、OS コマンドで使用される特別な要素の不適切な無効化 (「OS コマンドインジェクション」) [CWE-78] により、認証済みの攻撃者が細工した HTTP リクエストを介して「root」ユーザーとして任意のシェルコードを実行できる可能性があります。(CVE-2022-30303)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Fortinet FortiWeb - Web GUI での OS コマンドインジェクション (FG-IR-22-163)

high Nessus プラグイン ID 197630

バージョン 1.0