Fortinet раскрыла уязвимость CVSS 9.1 (CWE-863) в FortiMail: неаутентифицированный атакующий может захватить IBE-сессию любого получателя и читать его зашифрованную почту.
Мнение эксперта
- Для России: FortiMail у многих заказчиков идёт параллельным импортом без вендорской поддержки, поэтому патч придётся ставить вручную по бюллетеню PSIRT.
- До обновления закройте IBE-портал от интернета и проверьте логи HTTP-запросов — это дешёвая мера против захвата сессии.
- Риск ИБ высок для клиентов под 152-ФЗ: утечка расшифрованной переписки в обход TLS бьёт по репутации интегратора, стоит предложить миграцию на отечественный почтовый шлюз.
