Уязвимость OS Command Injection (CWE-78, CVSS 7.2) в FortiAnalyzer, FortiManager и их облачных версиях: привилегированный аутентифицированный атакующий может выполнить произвольные команды через имя расписания отчётов.
Мнение эксперта
- Для России Fortinet поставляется в основном через параллельный импорт: сам патч доступен в рамках FortiCare, а без активной поддержки обновление придётся ждать через дистрибьютора — надо заранее уточнять статус контрактов у заказчиков.
- В регламент ТО стоит добавить сверку версий FortiManager/FortiAnalyzer и закрыть доступ к GUI и API этих систем из недоверенных сегментов сети.
- Требование привилегированной учётной записи снижает массовость эксплуатации, но при утечке админских данных даёт атакующему управление всей политикой — нужен жёсткий контроль привилегированных аккаунтов и MFA.
