Ce bulletin a été rédigé par Vigil@nce : http://vigilance.fr/offre

SYNTHÈSE DE LA VULNÉRABILITÉ

Un attaquant peut employer plusieurs vulnérabilités des appliances
FortiGate, afin d’exécuter du code script dans des contextes
privilégiés.

– Gravité : 2/4
– Date création : 30/01/2012

PRODUITS CONCERNÉS

– Fortinet FortiGate
– Fortinet FortiGate Virtual Appliance

DESCRIPTION DE LA VULNÉRABILITÉ

Les appliances FortiGate disposent d’une interface web.

Cependant, ces interfaces ne filtrent pas correctement leurs
paramètres. Un attaquant peut alors stocker du code script, qui
sera exécuté à chaque visite. Il peut aussi provoquer un Cross
Site Scripting sur la machine des visiteurs. Le paramètre
fields_sorted_opt de user/auth/list fields_sorted_opt et
endpointcompliance/app_detect/predefined_sig_list peut être
utilisé comme vecteur d’attaque.

Les fonctionnalités suivantes sont impactées :
Dailup List
Endpoint > Monitor > Endpoint Monitor
Endpoint > NAC > Application Database > Listings
List field sorted
Log&Report > Display

Un attaquant peut donc employer plusieurs vulnérabilités des
appliances FortiGate, afin d’exécuter du code script dans des
contextes privilégiés.

ACCÈS AU BULLETIN VIGIL@NCE COMPLET

http://vigilance.fr/vulnerabilite/FortiGate-multiples-vulnerabilites-11325