Компания Fortinet опубликовала бюллетень безопасности FG-IR-26-185, описывающий уязвимость обхода аутентификации в веб-интерфейсе управления FortiSandbox. Уязвимость получила вендорскую оценку CVSSv3 9.6 и позволяет удалённому неаутентифицированному атакующему обойти механизм аутентификации с помощью специально сформированных HTTP-запросов. Организациям, использующим FortiSandbox с доступным из сети веб-интерфейсом, следует немедленно провести инвентаризацию и ограничить доступ к GUI-интерфейсу до выхода детализированных рекомендаций вендора.
Технические детали уязвимости
Согласно бюллетеню Fortinet, уязвимость классифицируется как Authentication Bypass Using an Alternate Path or Channel (CWE-288). Этот класс уязвимостей предполагает, что атакующий может обойти основной механизм аутентификации, используя альтернативный путь или канал доступа к защищённым ресурсам. В данном случае вектор атаки — специально сформированные HTTP-запросы к GUI-интерфейсу FortiSandbox.
Ключевые характеристики:
- Идентификатор бюллетеня: FG-IR-26-185
- Оценка CVSSv3: 9.6 (присвоена вендором; независимая оценка не выявлена)
- Затронутый компонент: веб-интерфейс управления (GUI) FortiSandbox
- Вектор атаки: удалённый, без необходимости аутентификации
- CVE-идентификатор: в бюллетене не указан
Важно отметить, что в доступном бюллетене не указаны конкретные затронутые версии FortiSandbox и не опубликована информация о выпуске исправления. Статус активной эксплуатации уязвимости также не установлен — в бюллетене отсутствуют упоминания об использовании этой уязвимости в реальных атаках.
Оценка воздействия
FortiSandbox — решение для анализа вредоносного ПО в изолированной среде, которое используется в корпоративных сетях для обнаружения продвинутых угроз. Обход аутентификации в его интерфейсе управления представляет серьёзный риск: получив несанкционированный доступ к панели управления, атакующий потенциально может влиять на конфигурацию песочницы, отключать механизмы обнаружения или получить доступ к результатам анализа вредоносных образцов.
Наибольшему риску подвержены организации, у которых веб-интерфейс FortiSandbox доступен из недоверенных сетей или из интернета. Поскольку атака не требует аутентификации и реализуется через HTTP-запросы, барьер для эксплуатации минимален.
Ранее мы уже анализировали уязвимость в FortiSandbox — FG-IR-26-166 с оценкой CVSS 8.9. Новая уязвимость FG-IR-26-185 имеет ещё более высокую оценку критичности, что указывает на продолжающуюся серию проблем безопасности в этом продукте.
Рекомендации
Поскольку информация о затронутых версиях и доступных исправлениях пока не раскрыта в бюллетене, рекомендуется сосредоточиться на снижении поверхности атаки:
- Провести инвентаризацию всех экземпляров FortiSandbox в инфраструктуре и определить, какие из них имеют GUI-интерфейс, доступный из недоверенных сегментов сети или из интернета.
- Ограничить сетевой доступ к веб-интерфейсу управления FortiSandbox — разрешить подключения только с доверенных IP-адресов администраторов, используя ACL на межсетевом экране или встроенные средства ограничения доступа.
- Усилить мониторинг — отслеживать аномальные HTTP-запросы к интерфейсу управления FortiSandbox, обращая внимание на попытки доступа к нестандартным путям и эндпоинтам.
- Следить за обновлениями бюллетеня FG-IR-26-185 — Fortinet может дополнить его информацией о затронутых версиях и выпущенных патчах.
При оценке CVSSv3 9.6 и отсутствии необходимости в аутентификации для эксплуатации данная уязвимость требует приоритетного внимания. Главное действие сейчас — убедиться, что веб-интерфейс управления FortiSandbox недоступен из недоверенных сетей, и оперативно применить исправление, как только Fortinet опубликует информацию о затронутых версиях и патче.
