martes, 5 de julio de 2016

Cross-Site Request Forgery en Fortinet FortiWeb

Fortinet ha publicado un boletín de seguridad para alertar de una vulnerabilidad de cross-site request forgery (CSRF) en dispositivos FortiWeb.

Fortinet FortiWeb 400C
La familia FortiWeb de firewall para aplicaciones web de Fortinet ofrece seguridad tanto para aplicaciones web como XML en una sola plataforma. Los dispositivos FortiWeb están diseñados para brindar protección frente ataques (como inyección SQL o XSS) al nivel de aplicación.

El problema, con CVE-2016-4066, reside en un error de validación de las entradas del usuario que podría permitir a un atacante remoto realizar ataques de cross-site request forgery. Este tipo de vulnerabilidades permiten a un atacante ejecutar funcionalidades de una web determinada a través de la sesión de otro usuario en esa web. De esta forma un atacante podría tener acceso al servidor con los mismos permisos que los del usuario atacado. Por ejemplo, mediante el uso de un formulario específicamente diseñado el atacante podría llegar a cambiar la contraseña administrativa.

Fortinet ha publicado la versión de software FortWeb 5.5.3 que corrige la vulnerabilidad.

Más información:

FortiWeb CSRF Vulnerability

FortiWeb: cortafuegos para aplicaciones web




Antonio Ropero
Twitter: @aropero



No hay comentarios:

Publicar un comentario en la entrada