Fortinet · FortiOS
CVE-2019-6693
Fortinet FortiOS Use of Hard-Coded Credentials Vulnerability
چیست
Use of a hard-coded cryptographic key to cipher sensitive data in FortiOS configuration backup file may allow an attacker with access to the backup file to decipher the sensitive data, via knowledge of the hard-coded key. The aforementioned sensitive data includes users' passwords (except the administrator's password), private keys' passphrases and High Availability password (when set).
CISA: Fortinet FortiOS contains a use of hard-coded credentials vulnerability that could allow an attacker to cipher sensitive data in FortiOS configuration backup file via knowledge of the hard-coded key.
چه باید کرد
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
مهلت برای نهادهای فدرال آمریکا: ۱۶ ژوئیهٔ ۲۰۲۵
- افزوده‌شده به فهرست CISA
- ۲۵ ژوئن ۲۰۲۵
- منتشرشده
- ۲۱ نوامبر ۲۰۱۹
- شدت
- متوسط ۶٫۵ CVSS 3.1
- احتمال حمله در ۳۰ روز آینده (EPSS)
- ۶٫۶% در ۶٫۲% بالای همهٔ آسیب‌پذیری‌های شناخته‌شده
- نوع ضعف
- CWE-798
- جزئیات بیشتر
- NVD · CVE.org · CISA
همهٔ منابع (1)
آسیب‌پذیری‌های دیگر Fortinet که مورد سوءاستفاده‌اند
| افزوده‌شده | آسیب‌پذیری | محصول | شدت | احتمال حمله |
|---|---|---|---|---|
| ۲۷ ژوئیه ۲۰۲۶ | Exposure of Sensitive Information to an Unauthorized Actor | FortiOS | متوسط ۵٫۳ | ۲۹% |
| ۹ فوریه ۲۰۲۴ | Out-of-Bound Write | FortiOS | بحرانی ۹٫۶ | ۸۵% |
| ۱۴ مارس ۲۰۲۳ | Path Traversal | FortiOS | متوسط ۶٫۵ | ۱۱% |
| ۱۳ دسامبر ۲۰۲۲ | Heap-Based Buffer Overflow | FortiOS | بحرانی ۹٫۳ | ۹۹٫۵% |
| ۱۰ دسامبر ۲۰۲۱ | Arbitrary File Download | FortiOS | کم ۳٫۳ | ۰٫۹% |
| ۳ نوامبر ۲۰۲۱ | Default Configuration | FortiOS | متوسط ۶٫۵ | ۱۹% |
| ۳ نوامبر ۲۰۲۱ | SSL VPN Path Traversal | FortiOS | بحرانی ۹٫۱ | >۹۹٫۹% |
| ۳ نوامبر ۲۰۲۱ | SSL VPN Improper Authentication | FortiOS | بالا ۷٫۵ | ۴۵% |
منابع: Known Exploited Vulnerabilities (CISA، مالکیت عمومی)، CVE records (cve.org) و EPSS (FIRST). احتمال حمله برآورد EPSS از این است که کسی در ۳۰ روز آینده برای سوءاستفاده از این آسیب‌پذیری تلاش کند.