Fortinet закрыла уязвимость переполнения кучи (CWE-122, CVSS 7.2) в FortiManager, FortiAnalyzer и их облачных версиях: админ может выполнить код или вызвать отказ в работе через JSON-RPC.
Мнение эксперта
- Для российского рынка риск двойной: часть инсталляций Fortinet осталась у заказчиков после ухода вендора, и оперативное получение прошивок и поддержки приходится выстраивать через дистрибьюторов и параллельный импорт.
- Интегратору стоит внести FortiManager/FortiAnalyzer в регулярный цикл патчинга и проверить, кто реально имеет админские права на этих узлах: уязвимость эксплуатируется только из-под аутентифицированной учётной записи.
- Практический вывод — ограничить доступ к JSON-RPC и веб-интерфейсу management-плоскости, сегментировать её от пользовательских сетей и зафиксировать в SLA сроки установки обновлений как аргумент в тендерах и при аудитах.
