Fortinet раскрыла уязвимость SSTI (CWE-1336, CVSS 7.2) в FortiManager, FortiAnalyzer и их облачных версиях: пользователь с ограниченными правами может выполнить произвольные команды.
Мнение эксперта
- Уязвимость требует аутентификации, но в типовых внедрениях FortiManager доступен из внутренней сети, а слабые сервисные учётки и интеграции с AD повышают риск эксплуатации.
- Для российского рынка это дополнительный аргумент в пользу отечественных систем управления политиками безопасности, поскольку обновления Fortinet доступны не всем заказчикам.
- Системному интегратору нужно срочно инвентаризировать парк FortiManager/FortiAnalyzer, включая облачные подписки, и согласовать с заказчиками окна обновления до исправленной версии.
