SQL-инъекция (CWE-89) с оценкой CVSS 7.1 в FortiManager, FortiManager Cloud, FortiAnalyzer и FortiAnalyzer Cloud позволяет аутентифицированному атакующему выполнять произвольные SQL-команды через специально сформированные запросы.
Мнение эксперта
- FortiManager и FortiAnalyzer часто выполняют роль центральных точек управления политиками и сбора логов, поэтому инъекция затрагивает самый доверенный контур инфраструктуры заказчика.
- Ограниченный доступ к обновлениям Fortinet вынуждает согласовывать компенсирующие меры: сегментация интерфейсов управления, ограничение доступа к GUI и API по спискам адресов.
- Эксплуатация требует аутентификации, так что критично навести порядок в учётках администраторов, включить MFA и мониторинг аномальных SQL-запросов в журналах.
