Fortinet раскрыла уязвимость SQL-инъекции (CWE-89) в веб-интерфейсе FortiMail с оценкой CVSS 7.7: аутентифицированный атакующий может выполнить произвольные команды через специально сформированные HTTP-запросы.
Мнение эксперта
- Для российского рынка: FortiMail сохраняется у уже установленных заказчиков, но официальная поддержка Fortinet в РФ ограничена, поэтому обновления придётся получать через параллельный импорт или партнёров.
- Практика для интегратора: проведите инвентаризацию версий FortiMail у клиентов, приоритезируйте установку патча и ограничьте доступ к веб-интерфейсу из интернета.
- Риск ИБ: инъекция требует аутентификации, но скомпрометированная учётка почтового пользователя открывает путь к серверу — стоит пересмотреть MFA и политику паролей.
