An unauthenticated OS command injection vulnerability in the FortiSandbox web interface allows attackers to execute arbitrary commands via specially crafted HTTP requests. This affects FortiSandbox versions 4.2 through 5.0.5, including on-premises, Cloud, and PaaS deployment models. The web interface should not be publicly accessible and should be placed in a separate management network.
Fortinet heeft een kwetsbaarheid verholpen in FortiSandbox versies 4.2 tot en met 5.0.5, inclusief FortiSandbox Cloud en FortiSandbox PaaS. De kwetsbaarheid betreft een OS command injection in de webinterface van FortiSandbox. Hierdoor kunnen niet-geauthenticeerde aanvallers willekeurige OS-commando's uitvoeren door speciaal vervaardigde HTTP-verzoeken te sturen. Deze kwetsbaarheid treft meerdere implementatiemodellen van FortiSandbox, waaronder on-premises, cloud en platform-as-a-service varianten. De kwetsbaarheid maakt ongeautoriseerde command execution mogelijk zonder dat authenticatie vereist is. De webinterface is in beginsel niet ontworpen om toegankelijk te zijn voor het brede publiek en het is goed gebruik een dergelijke interface af te steunen in een separate beheeromgeving.