Cabecera-v2-web.jpg

Vulnerabilidades de Cross-Site Scripting en FortiOS


Fortinet_logo.PNG

Fortinet ha confirmado dos vulnerabilidades en FortiOS, el sistema operativo empleado en sus sistemas, que podrí­an permitir a un atacante remoto sin autenticar construir ataques de cross-site scripting.

Como es habitual en este tipo de ataques los problemas (con CVE-2017-7734 y CVE-2017-7735) residen en un filtrado inadecuado de los datos antes de ser devueltos al usuario. Concretamente, a través del parámetro "Comments" mientras se graban revisions de configuración y en el parámetro "Groups" mientras se crean o editan grupos de usuarios. Esto podrí­a facilitar a un atacante remoto crear una URL, que al ser cargada por el usuario permita la ejecución de código script en el contexto de seguridad del navegador de la ví­ctima autenticada.

Al igual que todo este tipo de ataques podrí­a permitir acceder a las cookies (incluyendo las de autenticación) y a información recientemente enviada, además de poder realizar acciones en el sitio haciéndose pasar por la ví­ctima.

Se ven afectadas las versiones FortiMail 5.2.0 a 5.4.4. Fortinet recomienda la actualización a la versión FortiOS 5.4.5 o 5.6.0.



Fuente: hispasec.com


pie.png

CERT-PY | Centro de Respuestas a Incidentes Cibernéticos
Ministerio de Tencnologí­as de la Información y Comunicación (MITIC)

Avda. Gral. Santos c/ Concordia | Telefono: (595 21) 217-9000
República del Paraguay

80x15.png

Versión del Template 1.11