Уязвимость CVSS 9.6 (CWE-197, ошибка числового усечения) в демоне BGP FortiOS и FortiSASE позволяет настроенному iBGP-соседу через специально сформированный запрос рассылать вредоносные атрибуты всем подключённым маршрутизаторам.
Мнение эксперта
- Российский рынок: парк FortiGate у крупных заказчиков пополняется параллельным импортом, вендорной поддержки в РФ нет — патч и проверку конфигураций интегратору придётся брать на себя.
- Практика: в первую очередь обновлять пограничные и VPN-шлюзы с настроенным iBGP, а до установки патча сузить списки соседей и включить MD5-аутентификацию BGP-сессий.
- Риск: эксплуатировать баг может только легитимный iBGP-сосед, но сбой демона роняет маршрутизацию целиком — довод в пользу диверсификации вендоров в ядре сети.
