FortiMail gyenge jelszó-helyreállítása hitelesítés nélküli fiókátvételt tesz lehetővé (CVE-2026-126150)

Mi történt

A Fortinet FortiMail az IBE webmail-fiókok elfelejtett jelszavaihoz gyenge jelszó-helyreállítási mechanizmust tartalmaz (CWE-640). Egy hitelesítést nem igénylő támadó, aki a hálózaton keresztül eléri az IBE webmail-felületet, speciálisan kialakított HTTP-kéréseket küldhet, hogy visszaállítsa egy tetszőleges IBE webmail-felhasználó jelszavát, és átvegye a fiókot. Ehhez nincs szükség hitelesítő adatokra vagy felhasználói beavatkozásra.

A CVSS 3.1 szerinti pontszám 9,1; a bizalmasságra és a sértetlenségre gyakorolt hatás magas, a rendelkezésre állásra nincs hatással. A CVE-rekord nem számol be aktív kihasználásról vagy nyilvános közzétételről, és a sérülékenység nem szerepel a CISA KEV-katalógusában.

Kit érint

A CVE-rekord a FortiMail 8.0.0, 7.6.0–7.6.5, 7.4.0–7.4.7 és 7.2.0–7.2.9 verzióit sorolja fel. A sérülékeny összetevő az IBE webmail elfelejtett jelszavakhoz kapcsolódó helyreállítási funkciója. Azoknak a szervezeteknek, amelyek e verziók valamelyikét futtatják, és az IBE webmail engedélyezett vagy elérhető, ezt közvetlenül relevánsnak kell tekinteniük.

Mit kell most tenni

1. Mérje fel az érintettséget: keresse meg az érintett verziótartományokba tartozó FortiMail-rendszereket, és ellenőrizze, hogy az IBE webmail engedélyezett-e és elérhető-e, különösen az internet felől.
2. Korlátozza a FortiMail IBE webmail-felületének elérését megbízható hálózatokra vagy hitelesítést igénylő elérési útvonalakra, például VPN-re vagy SSO-ra; ahol lehetséges, szüntesse meg a közvetlen internetes elérhetőséget.
3. Vizsgálja át az IBE webmail jelszó-visszaállítási és bejelentkezési tevékenységét, keresve a váratlan visszaállításokat vagy fiókmódosításokat.
4. Kövesse figyelemmel a Fortinet PSIRT erre a CVE-azonosítóra vonatkozó biztonsági közleményét. A CVE-rekord egyelőre nem sorol fel javított verziót vagy gyártói kerülő megoldást.

Hogyan észlelhető

A CVE-rekord nem tesz közzé konkrét kompromittálódásra utaló jeleket. Mivel a hiba a jelszó-helyreállítási folyamatban van, vizsgálja át az IBE webmail jelszó-visszaállítási és bejelentkezési eseményeit: keressen olyan visszaállításokat, amelyeket a fiók tulajdonosa nem kért, a visszaállítást röviddel követő, váratlan helyekről érkező bejelentkezéseket, valamint a helyreállítási adatok módosításait.

A javításon túl

Ez egyszerre kitettségi kockázat és a beszállítói javítási ciklusból eredő kockázat: a FortiMail IBE webmail kritikus jelszó-visszaállítási hibája hitelesítő adatok nélkül, hálózaton keresztül elérhető, és javítás jelenleg nem szerepel, így a kitettségi időszak nyitott marad. A Virtuális CISO szolgáltatás (vCISO) segíthet az internet felől elérhető FortiMail-felületek azonosításában és csökkentésében, mielőtt egy ehhez hasonló riasztás megjelenik. Az Ellátási lánc védelem és harmadik felek kockázatai szolgáltatásunk pedig nyomon követi a beszállítók javítási ciklusait, így Ön pontosan látja, milyen javítatlan szoftvereket használ, és mióta.