FortiManager設定シークレットの復号 (CVE-2020-9289)

CVE-2020-9289 と CVE-2019-6693 は、同じデフォルトかつハードコードされた鍵に関連しています。

FortiManager/FortiAnalyzer に実装されている復号ルーチンの唯一の違いは次のとおりです:

• IV の処理（16バイトすべてが暗号化データの前に数字で提供される）。
• 最後の暗号化ブロックは出力から取り除かれるため、クリアテキストにジャンクを追加してから削除する必要があります。

詳細については、https://www.fortiguard.com/psirt/FG-IR-19-007 を参照してください。