CVE-2021-36171
Publiée le 2022-03-01 · Dernière modification le 2026-06-17
Les versions de FortiPortal antérieures à la 6.0.6 utilisent un générateur de nombres aléatoires faible lors de la création de nouveaux mots de passe pendant les réinitialisations. Un attaquant distant et non authentifié peut exploiter cette faille pour prédire le nouveau mot de passe et prendre le contrôle total d'un compte utilisateur. Bien qu'aucune interaction de l'utilisateur ne soit requise, cette attaque est difficile à exécuter car l'assaillant doit synchroniser avec précision ses tentatives avec la fenêtre de génération du système.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
The use of a cryptographically weak pseudo-random number generator in the password reset feature of FortiPortal before 6.0.6 may allow a remote unauthenticated attacker to predict parts of or the whole newly generated password within a given time frame.