Fortinet · FortiOS and FortiProxy
CVE-2024-55591
Fortinet FortiOS and FortiProxy Authentication Bypass Vulnerability
Was es ist
An Authentication Bypass Using an Alternate Path or Channel vulnerability [CWE-288] affecting FortiOS version 7.0.0 through 7.0.16 and FortiProxy version 7.0.0 through 7.0.19 and 7.2.0 through 7.2.12 allows a remote attacker to gain super-admin privileges via crafted requests to Node.js websocket module.
CISA: Fortinet FortiOS and FortiProxy contain an authentication bypass vulnerability that may allow an unauthenticated, remote attacker to gain super-admin privileges via crafted requests to Node.js websocket module.
Was zu tun ist
Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.
Frist für US-Bundesbehörden: 21. Januar 2025
- Zur CISA-Liste hinzugefügt
- 14. Januar 2025
- Veröffentlicht
- 14. Januar 2025
- Schweregrad
- Kritisch 9,6 CVSS 3.1
- Wahrscheinlichkeit von Angriffen in den nächsten 30 Tagen (EPSS)
- 94% unter den obersten 0,1% aller bekannten Schwachstellen
- Schwachstellentyp
- CWE-288
- Mehr Details
- NVD · CVE.org · CISA
Alle Quellen (1)
Weitere ausgenutzte Schwachstellen von Fortinet
| Hinzugefügt | Schwachstelle | Produkt | Schweregrad | Angriffswahrscheinlichkeit |
|---|---|---|---|---|
| 18.03.2025 | Authentication Bypass | FortiOS and FortiProxy | Hoch 8,1 | 7,2% |
| 10.01.2022 | Improper Authorization | FortiOS and FortiProxy | Kritisch 9,1 | 82% |
| 10.01.2022 | Out-of-bounds Write | FortiOS and FortiProxy | Mittel 4,3 | 34% |
| 16.10.2026 | Path Traversal | Multiple Products | Mittel 5,4 | 1,3% |
| 01.10.2026 | Path Traversal | FortiMail | Kritisch 9,8 | 4,6% |
| 09.09.2026 | Heap-based Buffer Overflow | Multiple Products | Hoch 7,4 | 3,7% |
| 27.07.2026 | Exposure of Sensitive Information to an Unauthorized Actor | FortiOS | Mittel 5,3 | 29% |
| 16.07.2026 | OS Command Injection | FortiSandbox | Kritisch 9,1 | 76% |
Quellen: Known Exploited Vulnerabilities (CISA, gemeinfrei), CVE records (cve.org) und EPSS (FIRST). Die Angriffswahrscheinlichkeit ist die EPSS-Schätzung, dass jemand in den nächsten 30 Tagen versucht, die Schwachstelle auszunutzen.