Fortinet FortiWeb fgfm 接続に対する証明書名検証がありませんFG-IR-24-046
high Nessus プラグイン ID 234004
Language:
概要
Fortinet Firewall に、1 つ以上のセキュリティ関連の更新がありません。説明
リモートホストにインストールされている FortiWeb のバージョンは、テスト済みバージョンより前です。したがって、FG-IR-24-046アドバイザリに記載されている複数の脆弱性の影響を受けます。- Fortinet FortiOS バージョン 7.4.0 から 7.4.3、 7.2.0 [] から 、 7.0.07.2.7から 7.0.14、 6.4.0 から 6.4.15 および 6.2.0 から 6.2.16、 Fortinet FortiProxy バージョン 7.4.0 から 7.4.2、 7.2.0 から 7.2.9、 7.0.0 から 7.0.15 、 2.0.0 から 2.0.14、Fortinet FortiManager バージョン 7.4.0 から 7.4.2、 7.2.07.2.4から [ 7.0.0 、 7.0.11から 、 6.4.0 から および 6.4.14 から 6.2.06.2.13、Fortinet FortiAnalyzer バージョン 7.4.0 から 7.4.2]、 7.2.0 から 7.2.4、 7.0.0 から 7.0.11、 6.4.0 から 6.4.14 および 6.2.0 から 6.2.13、Fortinet FortiVoice バージョン 7.0.0 から [ 7.0.2] ] 、 6.4.0 、 6.0.06.4.8 、および Fortinet FortiWeb バージョン 7.4.0 、 6.0.12 ] 、 7.4.2[] 、 、 7.2.0 、[] 、 7.2.10、 7.0.0 [] 、 、および 7.0.10 管理デバイスと管理対象デバイスの間で FGFM 認証リクエストを傍受することで、管理デバイス (FortiCloud サーバー または特定の状況では FortiManager) を傍受することができますCVE-2024-50565
- 意図されるエンドポイントに対する通信チャネルの不適切な制限による脆弱性 [CWE-923] Fortinet FortiOS バージョン 7.4.0 から 7.4.4、 7.2.0 から 7.2.8、 7.0.0 から 7.0.15、 6.4.0 から 6.4.15 および 6.2.16より前、Fortinet FortiProxyバージョン 7.4.07.4.2、 7.2.0 、 7.0.157.2.9 より前の 、Fortinet FortiAnalyzer のバージョン 7.4.0 、 7.4.2、 7.2.47.2.0 、 7.0.0 、 7.0.11、 6.4.146.4.0 、 6.2.13より前の 、Fortinet FortiAnalyzerバージョン 7.4.0 、 7.4.27.2.0 、 7.2.4、 7.0.0 、 6.4.07.0.11、 6.4.14 より前の 、Fortinet FortiVoice のバージョン 6.2.137.0.0 、 7.0.2 より前の [ 6.4.8 および 7.4.2 より前の FortiWeb によって、認証されていない中間者の立場の攻撃者が、管理デバイスと管理対象デバイスの間の FGFM 認証リクエストを傍受することで、管理デバイスFortiCloud サーバーまたは特定の状況では FortiManagerになりすますCVE-2024-26013
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
7.4.x については、FortiWeb バージョン 7.4.3 以降にアップグレードしてください。参考資料
プラグインの詳細
深刻度: High
ID: 234004
ファイル名: fortiweb_FG-IR-24-046.nasl
バージョン: 1.3
タイプ: local
ファミリー: Firewalls
公開日: 2025/4/8
更新日: 2025/4/22
サポートされているセンサー: Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 6.7
CVSS v2
リスクファクター: High
基本値: 7.6
現状値: 5.6
ベクトル: CVSS2#AV:N/AC:H/Au:N/C:C/I:C/A:C
CVSS スコアのソース: CVE-2024-50565
CVSS v3
リスクファクター: High
基本値: 7.5
現状値: 6.5
ベクトル: CVSS:3.0/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H
現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C
CVSS スコアのソース: CVE-2024-26013
脆弱性情報
CPE: cpe:/a:fortinet:fortiweb
必要な KB アイテム: Host/Fortigate/model, Host/Fortigate/version
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2025/4/8
脆弱性公開日: 2025/4/8
参照情報
CVE: CVE-2024-26013, CVE-2024-50565
IAVA: 2024-A-0745