FortiMail útvonalbejárási hibája hitelesítés nélküli kódfuttatást tesz lehetővé (CVE-2026-126147)

Mi történt

A CVE-2026-126147 sérülékenység egy útvonalbejárási hiba (CWE-22) a FortiMailben. Hitelesítés nélküli támadó speciálisan kialakított kéréseket küldhet, amelyekkel megkerülheti a könyvtárkorlátozásokat, és jogosulatlan kódot vagy parancsokat futtathat. A CVSS 3.1 szerinti értékelés 9,8, azaz kritikus, mert a hiba hálózaton keresztül elérhető, alacsony támadási összetettségű, nem igényel semmilyen jogosultságot és felhasználói beavatkozást, valamint nagy hatással van a bizalmasságra, a sértetlenségre és a rendelkezésre állásra.

A CVE-rekord nem tüntet fel kihasználást, és a Fortinet sem közölte, hogy a hibát aktívan kihasználnák, vagy hogy a részleteket nyilvánosságra hozták volna. A Fortinet FG-IR-26-199 azonosítójú PSIRT biztonsági közleménye a közzététel időpontjában nem sorol fel javított verziót és kerülő megoldást sem.

Kit érint

Az érintett termék a FortiMail. Az érintett verziók a következők:

• FortiMail 8.0.0-tól 8.0.1-ig
• FortiMail 7.6.0-tól 7.6.6-ig
• FortiMail 7.4.0-tól 7.4.8-ig
• FortiMail 7.2.0-tól 7.2.9-ig

Ha ezen verziók bármelyikét futtatja, a rendszert addig tekintse hitelesítés nélküli támadó által potenciálisan elérhetőnek, amíg meg nem győződik arról, hogy a hálózati hozzáférést korlátozták.

Mit kell most tenni

1. Ellenőrizze, hogy a FortiMail felügyeleti vagy felhasználói felületei elérhetők-e az internetről. Szüntesse meg a nyilvános elérhetőséget ott, ahol az nem szigorúan szükséges.
2. Korlátozza a FortiMailhoz való hozzáférést megbízható belső hálózatokra, VPN-re vagy ugróállomásra.
3. Ha a rendszernek hálózaton keresztül elérhetőnek kell maradnia, alkalmazzon kompenzáló hálózati kontrollokat, és fokozottan figyelje a hozzáférési és adminisztrációs naplókat.
4. Kísérje figyelemmel a Fortinet FG-IR-26-199 azonosítójú PSIRT biztonsági közleményét, hogy értesüljön a javított verzióról vagy a kerülő megoldásról – jelenleg egyik sem szerepel benne.

A javításon túl

Mivel a hiba hitelesítés nélkül, hálózaton keresztül kihasználható, azonnal fel kell mérni, hogy a FortiMail bárhol elérhető-e az Ön környezetében. A Virtuális CISO szolgáltatás segíthet kezelni az internet felől elérhető szolgáltatások kitettségét, az Ellátási lánc védelem és harmadik fél kockázatai pedig segíthet nyomon követni az Ön által használt termékek gyártói javítási ciklusait. A behatolási teszt a legközvetlenebb módja annak, hogy a hasonló, hitelesítés nélküli útvonalbejárási vagy injektálási problémákat még a nyilvánosságra kerülésük előtt feltárják.