Kimeneti kódolási hiba a Fortinet FortiManager és FortiAnalyzer termékekben hitelesítés nélküli kódfuttatást tesz lehetővé (CVE-2026-126170)

Mi történt

A CVE-bejegyzés a kimenet nem megfelelő kódolásából vagy escape-eléséből adódó sérülékenységet ír le több FortiManager és FortiAnalyzer termékben. Hitelesítés nélküli támadó speciálisan kialakított HTTP-kérés elküldésével jogosulatlan kódot vagy parancsokat hajthat végre.

Mivel a támadási vektor hálózati alapú, és nem igényel sem jogosultságot, sem felhasználói beavatkozást, minden hálózaton keresztül elérhető érintett rendszert kitettnek kell tekinteni. A CVE-bejegyzés a problémát kritikusnak minősíti 9,8-as CVSS 3.1 pontszámmal; a bizalmasságra, a sértetlenségre és a rendelkezésre állásra gyakorolt hatás magas.

A CVE-bejegyzés nem közli, hogy aktív kihasználás történt volna.

Kit érint

A CVE-bejegyzés a következő érintett termékeket és verziókat sorolja fel:

• FortiManager 8.0.0–8.0.2 és 7.6.0–7.6.7
• FortiAnalyzer 8.0.0–8.0.2 és 7.6.0–7.6.7
• FortiManager Cloud 8.0.1–8.0.2 és 7.6.0–7.6.7
• FortiAnalyzer Cloud 8.0.1–8.0.2 és 7.6.0–7.6.7
• FortiAnalyzer-BigData 7.6.0–7.6.2

Ha ezen verziók bármelyikét futtatja, tekintse át most. A FortiManager és a FortiAnalyzer jellemzően központi felügyeleti és elemző termékek, ezért az internet felől elérhető példány kiemelt értékű célpontnak számít.

Mit kell most tenni

1. Ellenőrizze, hogy futtat-e bármely érintett FortiManager, FortiAnalyzer, FortiManager Cloud, FortiAnalyzer Cloud vagy FortiAnalyzer-BigData verziót.
2. A CVE-bejegyzés nem sorol fel javított kiadást. Amíg nem jelenik meg javított verzió, korlátozza az adminisztratív hozzáférést kizárólag megbízható felügyeleti hálózatokra, és ne tegye ezeket a rendszereket az internet felől elérhetővé.
3. Kövesse figyelemmel a Fortinet biztonsági közleményét, és amint elérhető, telepítse a javított verziót.
4. Tekintse át a hozzáférési naplókat az érintett rendszerek felé irányuló váratlan vagy rosszul formált HTTP-kérések tekintetében, mert a támadási útvonalhoz speciálisan kialakított HTTP-kérésre van szükség, hitelesítésre viszont nem.

Hogyan észlelhető

A CVE-bejegyzés nem sorol fel kompromittálódásra utaló jeleket. A támadási útvonal hitelesítést nem igénylő HTTP-kérés az érintett termékhez, ezért először ellenőrizze, hogy a FortiManager vagy a FortiAnalyzer felületei elérhetők-e nem megbízható hálózatok felől. Tekintse át a hozzáférési naplókat az említett felületekre irányuló váratlan vagy rosszul formált HTTP-kérések tekintetében.

A javításon túl

Egy hitelesítést nem igénylő, hálózaton keresztül kihasználható kódfuttatási sérülékenység a központi felügyeleti termékekben mindenekelőtt kitettségi probléma: a belépési pont az internet felől elérhető felügyeleti felület. Virtuális CISO szolgáltatásunk (vCISO) éppen erre a célra tartalmaz kitettségkezelést: még azelőtt felderíti az internet felől elérhető felügyeleti felületeket és a nyitott portokat, hogy egy támadó megtalálná azokat. Mivel a CVE-bejegyzés nem sorol fel javított kiadást, a javítás telepítésére rendelkezésre álló időt a Fortinet kiadási ciklusa és az Ön erre vonatkozó rálátása határozza meg. Ellátási lánc védelem és harmadik féltől eredő kockázatok kezelése szolgáltatásunk pedig nyomon követi, hogy mely szállítók szoftvereit futtatja, és milyen gyorsan jelennek meg a javítások, így a válaszidőt meg tudja tervezni.