В демоне fgfmd FortiManager обнаружена уязвимость CWE-78 (инъекция ОС-команд, CVSS 5.3): атакующий, выдавший себя за узел кластера и владеющий его сертификатом и ключом, может удалённо выполнить произвольный код.
Мнение эксперта
- Для российских заказчиков риск ограничен требованием сертификата узла кластера, но в распределённых схемах компрометация одного FortiManager даёт контроль над всей защитой периметра.
- Обновление идёт только через вендорский канал Fortinet, поэтому в условиях ограниченных поставок интегратору важно заранее сверять актуальные прошивки у дистрибьюторов и в сервисных контрактах.
- В регламент поддержки стоит добавить аудит кластерных сертификатов и сегментацию порта FGFM (541) — это дешёвая страховка и повод для дополнительной услуги по аудиту конфигураций.
