Fortinet устранила в FortiManager и FortiAnalyzer уязвимости path traversal и инъекции (CWE-22, CWE-74, CVSS 7.2): аутентифицированный администратор мог читать и записывать произвольные файлы и выполнять код через GUI.
Мнение эксперта
- Fortinet в РФ доступен в основном через параллельный импорт, так что сроки получения прошивок не гарантированы и план обновления надо согласовывать с заказчиком заранее.
- Уязвимость требует прав администратора, но в связке с FortiGate это привилегированный узел: компрометация даёт доступ ко всей политике безопасности клиента.
- Практический вывод — добавить в регламент ТО проверку версий FortiManager/FortiAnalyzer, сегментацию интерфейса управления и MFA, особенно на объектах КИИ с жёсткими сроками устранения.
