FortiManager és FortiAnalyzer vak XPath-injekciója hitelesítés nélkül teszi lehetővé az aláírt SAML-válaszok módosítását (CVE-2026-126176)

Mi történt

A CVE-bejegyzés XML-injektálási hibát ír le, más néven vak XPath-injektálást, a FortiManager, a FortiAnalyzer és felhős kiadásaik SAML-kéréseinek feldolgozásában. Hitelesítés nélküli távoli támadó speciálisan kialakított SAML-kéréseket küldhet. A kihasználáshoz nincs szükség felhasználói interakcióra vagy meglévő hitelesítő adatokra, bár a sérülékenység támadási bonyolultsága magas. Sikeres kihasználás esetén a támadó tetszőleges tartalmat szúrhat be egy aláírt SAML-válaszba, ami elsősorban a személyazonossági állítások sértetlenségét érinti.

A CVSS 3.1 szerinti pontszám 8,1, magas súlyosságú, megváltozott hatókörrel, magas sértetlenségi hatással, valamint alacsonyabb bizalmassági és rendelkezésre állási hatással. A CVE-bejegyzés nem sorol fel ismert kihasználást, és a Fortinet sem közölte, hogy a hiba aktív támadás alatt állna. Mivel a hiba hitelesítés nélkül érhető el a hálózaton keresztül, a legnagyobb kockázatot azok a telepítések jelentik, ahol ezek a rendszerek vagy SAML-végpontjaik nem megbízható hálózatok felől is elérhetők.

Kit érint

Az érintett verziók:

• FortiManager 8.0.0, 7.6.0–7.6.7, 7.4.0–7.4.11 és 7.2.0–7.2.12
• FortiAnalyzer 8.0.0, 7.6.0–7.6.7, 7.4.0–7.4.11 és 7.2.0–7.2.12
• FortiAnalyzer Cloud 8.0.0, 7.6.0–7.6.7, 7.4.1–7.4.11 és 7.2.1–7.2.12
• FortiManager Cloud 8.0.0, 7.6.0–7.6.7, 7.4.1–7.4.11 és 7.2.1–7.2.12

Ha szervezete e termékek bármelyikét a felsorolt verziótartományokban futtatja, a rendszert érintettként kell kezelnie.

Mit kell most tenni

1. Ellenőrizze, hogy a FortiManager, a FortiAnalyzer, a FortiManager Cloud vagy a FortiAnalyzer Cloud érintett verzióját futtatja-e. Az érintett verziótartományok fentebb találhatók.
2. Kezelje a hibát jelenleg javítatlan állapotúként. A Fortinet nem tett közzé javított verziókat, és gyártói kerülő megoldást sem tett közzé, ezért ne várjon a javítás bejelentésére a kitettség csökkentésével.
3. Korlátozza az érintett rendszerek hálózati elérhetőségét – különösen a SAML bejelentkezési végpontokét – megbízható felügyeleti hálózatokra vagy VPN-ekre, és ahol lehetséges, szüntesse meg a közvetlen internetről való elérhetőségüket.
4. Rendszeresen ellenőrizze a Fortinet PSIRT-oldalán található, erre a hibára vonatkozó hivatkozást a frissített útmutatásért; e riasztás készítésekor nem szerepel rajta sem javított verzió, sem kerülő megoldás.
5. Amíg a Fortinet nem tesz közzé további útmutatást, ellenőrizze a SAML-hitelesítési tevékenységet, hogy nincsenek-e váratlan vagy hibásan formázott kérések.

Hogyan észlelhető

A Fortinet nem tett közzé gyártóspecifikus indikátorokat ehhez a hibához. Amíg a Fortinet nem tesz közzé további útmutatást, kísérje figyelemmel a SAML-hitelesítési naplókat, és keressen az érintett FortiManager és FortiAnalyzer rendszerekre érkező váratlan vagy hibásan formázott SAML-kéréseket, különösen ott, ahol ezek a végpontok nem megbízható hálózatok felől is elérhetők.

A javításon túl

Ez egy hitelesítést nem igénylő, hálózaton keresztül elérhető hiba a felügyeleti és elemzőrendszerekben; a közvetlen feladat a kitettség csökkentése. A Virtuális CISO szolgáltatás (vCISO) segíthet felderíteni az internet felől elérhető FortiManager- és FortiAnalyzer-telepítéseket, és szigorítani a hozzáférést. Mivel az Ön kitettségi időablaka a Fortinet javítási ciklusától függ, az Ellátási lánc védelem és harmadik féltől származó kockázatok segíthet nyomon követni az érintett termékeket az Ön informatikai környezetében és a gyártó javítási ütemtervét.