Krytyczna podatność w usłudze FortiCloud
CSIRT CeZ ostrzega: w usłudze FortiCloud wykryto krytyczną podatność, która umożliwia obejście mechanizmów uwierzytelniania. Luka stanowi bardzo wysokie zagrożenie, ponieważ może prowadzić do nieautoryzowanego dostępu do urządzeń należących do innych kont FortiCloud.
Charakterystyka podatności
- Oznaczenie: CVE‑2026‑24858
- Produkt: FortiCloud
- CVSS 3.1: 9,8 (Critical)
Jak działa podatność
- Podatność polega na obejściu uwierzytelniania z wykorzystaniem alternatywnej ścieżki lub kanału w produktach Fortinet, takich jak FortiOS, FortiManager oraz FortiAnalyzer.
- Atakujący posiadający konto FortiCloud oraz co najmniej jedno zarejestrowane urządzenie może uzyskać możliwość logowania się do innych urządzeń zarejestrowanych na odmiennych kontach FortiCloud.
- Skuteczne wykorzystanie podatności może prowadzić do nieautoryzowanego dostępu administracyjnego i pełnej kompromitacji zarządzanych systemów.
Potencjalne skutki
Wykorzystanie podatności może skutkować:
- naruszeniem poufności (dostęp do danych i konfiguracji),
- naruszeniem integralności (możliwość modyfikacji ustawień i polityk bezpieczeństwa),
- naruszeniem dostępności usług i zarządzanych urządzeń.
Podatne systemy
Podatność dotyczy następujących produktów:
- FortiAnalyzer
- FortiManager
- FortiOS
- FortiProxy
Działania zapobiegawcze
Zalecamy:
- niezwłoczną aktualizację podatnych systemów do wersji wskazanych przez producenta,
- wdrożenie poprawek bezpieczeństwa zgodnie z oficjalnym komunikatem Fortinet,
- bieżące monitorowanie informacji publikowanych przez producenta.
Szczegóły dotyczące aktualizacji dostępne są na stronie producenta.
Dlaczego to ważne
Bardzo wysoka ocena CVSS, brak wymogu uwierzytelnienia oraz możliwość przekraczania granic pomiędzy różnymi kontami FortiCloud sprawiają, że podatność stanowi poważne zagrożenie dla środowisk zarządzanych centralnie. Jej wykorzystanie może prowadzić do masowej kompromitacji urządzeń sieciowych w organizacji.