【漏洞通告】Fortinet FortiOS与FortiProxy身份验证绕过漏洞(CVE-2024-55591)
发布时间 2025-01-16一、漏洞概述
漏洞名称 | Fortinet FortiOS与FortiProxy身份验证绕过漏洞 | ||
CVE ID | CVE-2024-55591 | ||
漏洞类型 | 身份验证绕过 | 发现时间 | 2025-01-16 |
漏洞评分 | 9.8 | 漏洞等级 | 严重 |
攻击向量 | 网络 | 所需权限 | 低 |
利用难度 | 低 | 用户交互 | 无 |
PoC/EXP | 未公开 | 在野利用 | 已发现 |
FortiOS 是 Fortinet 提供的操作系统，用于其安全设备（如防火墙）。FortiProxy 是 FortiOS 的一个组件，主要用于代理服务，提供反向代理、Web 应用防火墙等功能，帮助企业保护其 Web 应用免受攻击并优化网络流量。
2025年1月16日，启明星辰集团VSRC监测到Fortinet 官方发布安全公告，指出 FortiOS 和 FortiProxy 存在一个身份验证绕过漏洞（CVE-2024-55591），攻击者可通过精心构造的请求，利用 Node.js WebSocket 模块，绕过身份验证并获取超级管理员权限。该漏洞的 CVSS 漏洞评分为 9.8 分，漏洞级别为严重，可能导致远程攻击者对受影响系统的完全控制。
二、影响范围
7.0.0 <= FortiOS 7.0 <= 7.0.16
三、安全措施
3.1 升级版本
下载链接：
京公网安备11010802024551号