Kritisk sårbarhed i FortiSwitch GUI

Der er fundet en en "unverified password change"-sårbarhed i Fortinets FortiSwitch GUI. Sårbarheden kan potentielt give en ondsindet aktør mulighed for at ændre administratoradgangskoder gennem en særligt udformet anmodning. 

Sårbarheden har id’et CVE-2024-48887 og en CVSS-score på 9,3. Nummeret på CVE’en indikerer, at sårbarheden er fra 2024. Det betyder, at den altså er er fundet i 2024, men den er først offentlig tilgængelig nu, hvor der er en rettelse tilgængelig. 

De berørte systemer er følgende:

• FortiSwitch 7.6.0
• FortiSwitch 7.4.0
• FortiSwitch 7.2.0
• FortiSwitch 7.0.0
• FortiSwitch 6.4.0

Der er ikke observeret udnyttelse af sårbarheden.

Det anbefales at opdatere sårbare systemer i henhold til producentens anvisningerne, men som workaround anbefaler Fortinet at deaktivere HTTP/HTTPS-adgang fra administrative grænseflader og begrænse adgangen til systemet til kun at omfatte "sikre" hosts.