中危 低于3.6.11、6.0.6和6.2.2的Fortinet FortiSwitch，低于6.2.3的FortiAnalyzer，低于6.2.3的FortiManager和低于6.2.2的FortiAP-S / W2中的不受控制的资源消耗漏洞

CVE编号

CVE-2019-17657

利用情况

暂无

补丁情况

官方补丁

披露时间

2020-04-08

漏洞描述

低于3.6.11、6.0.6和6.2.2的Fortinet FortiSwitch，低于6.2.3的FortiAnalyzer，低于6.2.3的FortiManager和低于6.2.2的FortiAP-S / W2中的不受控制的资源消耗漏洞可能允许攻击者导致管理WebUI缓慢地处理特制的HTTP请求/响应，从而拒绝服务（DoS），如缓慢的HTTP DoS攻击所示。

解决建议

目前厂商已发布升级补丁以修复漏洞，补丁获取链接：https://fortiguard.com/psirt/FG-IR-19-013

参考链接
https://fortiguard.com/psirt/FG-IR-19-013

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	应用	fortinet	fortianalyzer	*		Up to (excluding) 6.2.3
	运行在以下环境
	应用	fortinet	fortiap-s	*		Up to (excluding) 6.2.2
	运行在以下环境
	应用	fortinet	fortiap-w2	*		Up to (excluding) 6.2.2
	运行在以下环境
	应用	fortinet	fortimanager	*		Up to (excluding) 6.2.3
	运行在以下环境
	系统	alpine_3.10	apache2	*		Up to (excluding) 2.4.48-r0
	运行在以下环境
	系统	alpine_3.11	apache2	*		Up to (excluding) 2.4.48-r0
	运行在以下环境
	系统	alpine_3.12	apache2	*		Up to (excluding) 2.4.48-r0
	运行在以下环境
	系统	alpine_3.13	apache2	*		Up to (excluding) 2.4.48-r0
	运行在以下环境
	系统	alpine_3.14	apache2	*		Up to (excluding) 2.4.48-r0
	运行在以下环境
	系统	alpine_3.15	apache2	*		Up to (excluding) 2.4.48-r0
	运行在以下环境
	系统	alpine_3.16	apache2	*		Up to (excluding) 2.4.48-r0
	运行在以下环境
	系统	alpine_3.17	apache2	*		Up to (excluding) 2.4.48-r0
	运行在以下环境
	系统	alpine_3.18	apache2	*		Up to (excluding) 2.4.48-r0
	运行在以下环境
	系统	alpine_edge	apache2	*		Up to (excluding) 2.4.48-r0

阿里云评分 6.5

• 攻击路径 远程
• 攻击复杂度 容易
• 权限要求 无需权限
• 影响范围 全局影响
• EXP成熟度 未验证
• 补丁情况 官方补丁
• 数据保密性 无影响
• 数据完整性 无影响
• 服务器危害 DoS
• 全网数量 N/A

CWE-ID	漏洞类型
CWE-400	未加控制的资源消耗（资源穷尽）

Exp相关链接

- avd.aliyun.com