Fortinet（飞塔）已发布安全更新，修复其FortiSwitch设备中存在的一个关键漏洞（编号CVE-2024-48887，CVSS评分为9.8）。远程攻击者可利用该漏洞篡改管理员密码。
公告称："FortiSwitch图形界面中存在未经验证的密码修改漏洞（CWE-620），远程未认证攻击者可能通过特制请求修改管理员密码。"
该漏洞由FortiSwitch网页界面开发团队的Daniel Rozeboom内部发现并上报。
受影响的版本包括：
Fortinet建议，对于尚未安装补丁的系统，临时解决方案是禁用HTTP/HTTPS管理访问功能，并将FortiSwitch访问权限限制为受信任的主机。
2024年6月，Fortinet曾修复漏洞CVE-2024-26010——该漏洞存在于FortiOS、FortiProxy、FortiPAM和FortiSwitchManager系统中，属于栈缓冲区溢出漏洞（CWE-124）。远程攻击者通过向fgfmd守护进程发送特制数据包，可能实现任意代码或命令执行。不过该漏洞的利用效果取决于特定条件，而这些条件不受攻击者控制。
原文始发于微信公众号（黑猫安全）：严重 Fortinet FortiSwitch 漏洞可让远程攻击者篡改管理员密码
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论