Fortinet раскрыла уязвимость SQL-инъекции (CWE-89, CVSS 7.9) в FortiAnalyzer, FortiManager и их облачных версиях: пользователь с низкими правами может читать и писать произвольные файлы и выполнять команды.
Мнение эксперта
- FortiAnalyzer и FortiManager широко стоят в российских сетях как центральный узел логирования и управления, и до 2022 года это был один из немногих легально поставляемых стеков Fortinet — значит, парк инсталляций большой и требующий аудита версий.
- Для интегратора это повод срочно инвентаризировать версии FMG/FAZ у заказчиков, проверить доступность облачных инсталляций и предложить работы по обновлению как отдельную услугу с проверкой резервных копий.
- Компенсирующие меры (ограничение прав низкопривилегированных учёток, изоляция management-плейна в отдельный сегмент, жёсткий RBAC) нужно включать в регламент сопровождения, так как обновление на объектах с длительным окном ТО может затянуться.
