Fortinet нашёл в FortiOS уязвимость CWE-287 (CVSS 5.9): админ с правами read-only может войти в GUI с неверным TFA-токеном, если RADIUS отвечает Access-Challenge.
Мнение эксперта
- Для российских заказчиков риск двойной: Fortinet официально не поставляет в РФ, обновления идут через параллельный импорт, и патч может прийти с задержкой — стоит проверить, кто и как обслуживает парк FortiGate.
- Пока патча нет в контуре, интегратору разумно временно ограничить админский доступ по RADIUS-TFA доверенными подсетями или перевести критичных админов на локальную аутентификацию с MFA.
- Это аргумент в пользу аудита всех сценариев MFA на сетевом оборудовании: похожие обходы через дополнительные challenge-ответы встречаются и у других вендоров, а не только в FortiOS.
