Критическая уязвимость CWE-639 (CVSS 9.1) в почтовом шлюзе FortiMail позволяет неаутентифицированному удалённому атакующему захватить произвольный аккаунт получателя IBE через поддельные HTTP-запросы.
Мнение эксперта
- Для российских заказчиков FortiMail ситуация осложняется уходом вендора с рынка: обновления идут через параллельный импорт, и патч может дойти с задержкой в недели.
- Интегратору стоит самому просканировать парк FortiMail у клиентов и до патча закрыть доступ к IBE-интерфейсу из интернета или ограничить его списками адресов.
- Инцидент усиливает аргумент в пользу отечественных почтовых шлюзов при импортозамещении и годится как кейс в пресейле против Fortinet.
