CVE-2021-24006 – استغلال خلل التحكم في الوصول في FortiManager (PoC)

PoC (إثبات المفهوم) - للاستخدام التعليمي فقط
استغلال وصول غير مصرح به إلى SD-WAN Orchestrator في FortiManager، يستغل خللًا في التحكم بالوصول (CWE-284).

الوصف

تؤثر الثغرة CVE-2021-24006 على FortiManager (الإصدارات 6.4.0 حتى 6.4.3) وتسمح للمستخدمين المصادق عليهم بملف تعريف مقيد بالوصول مباشرة إلى عنوان URL الخاص بلوحة تحكم SD-WAN Orchestrator، حتى دون إذن صريح عبر الواجهة.

الوصول المباشر إلى عنوان URL الثغري:
https://<IP>/fortiwan/maintenance/controller_configuration

الإصدارات المتأثرة

FortiManager 6.4.0 حتى 6.4.3
FortiManager 6.2.x والإصدارات الأقدم غير متأثرة

المتطلبات الأساسية

FortiManager مع تثبيت SD-WAN Orchestrator
مستخدم بملف تعريف Restricted Admin
الوصول إلى الواجهة الإلكترونية لـ FortiManager

الاستغلال (بهدف تعليمي)

تسجيل الدخول إلى الواجهة الإلكترونية باستخدام مستخدم بملف تعريف مقيد
زيارة عنوان URL مباشرة:

التخفيف

الترقية إلى FortiManager 6.4.4 أو أحدث
بدلاً من ذلك، استخدام الإصدار 7.0.0+
تقييد الوصول إلى الواجهة الإلكترونية حسب عنوان IP
مراقبة سجلات الطلبات إلى عنوان URL الحرج

إخلاء المسؤولية

يُوفَّر هذا الكود لأغراض تعليمية وللتوعية فقط.
لا تقم بتنفيذه في بيئات الإنتاج أو دون إذن صريح.

الوسوم

CVE-2021-24006 fortinet fortimanager sd-wan exploit poc vulnerability access-control bypass

CVE-2021-24006-Fortimanager-Exploit

الأكثر شعبية