Компанія Fortinet опублікувала бюлетень безпеки FG-IR-26-185, у якому описано вразливість обходу автентифікації у вебінтерфейсі керування FortiSandbox. Вразливість отримала вендорську оцінку CVSSv3 9.6 і дозволяє віддаленому неавтентифікованому зловмиснику обійти механізм автентифікації за допомогою спеціально сформованих HTTP-запитів. Організаціям, які використовують FortiSandbox із вебінтерфейсом, доступним із мережі, слід негайно провести інвентаризацію та обмежити доступ до GUI-інтерфейсу до виходу детальних рекомендацій вендора.
Технічні деталі вразливості
Згідно з бюлетенем Fortinet, вразливість класифікується як Authentication Bypass Using an Alternate Path or Channel (CWE-288). Цей клас вразливостей передбачає, що зловмисник може обійти основний механізм автентифікації, використовуючи альтернативний шлях або канал доступу до захищених ресурсів. У даному випадку вектор атаки — спеціально сформовані HTTP-запити до GUI-інтерфейсу FortiSandbox.
Ключові характеристики:
- Ідентифікатор бюлетеня: FG-IR-26-185
- Оцінка CVSSv3: 9.6 (присвоєна вендором; незалежну оцінку не виявлено)
- Зачеплений компонент: вебінтерфейс керування (GUI) FortiSandbox
- Вектор атаки: віддалений, без необхідності автентифікації
- CVE-ідентифікатор: у бюлетені не вказаний
Важливо зазначити, що в доступному бюлетені не вказано конкретні зачеплені версії FortiSandbox і не опубліковано інформацію про випуск виправлення. Статус активної експлуатації вразливості також не встановлений — у бюлетені відсутні згадки про використання цієї вразливості в реальних атаках.
Оцінка впливу
FortiSandbox — це рішення для аналізу зловмисного програмного забезпечення в ізольованому середовищі, яке використовується в корпоративних мережах для виявлення складних загроз. Обхід автентифікації в його інтерфейсі керування становить серйозний ризик: отримавши несанкціонований доступ до панелі керування, зловмисник потенційно може впливати на конфігурацію «пісочниці», вимикати механізми виявлення або отримати доступ до результатів аналізу зловмисних зразків.
Найбільшому ризику піддаються організації, у яких вебінтерфейс FortiSandbox доступний із недовірених мереж або з інтернету. Оскільки атака не потребує автентифікації та реалізується через HTTP-запити, бар’єр для експлуатації мінімальний.
Раніше ми вже аналізували вразливість у FortiSandbox — FG-IR-26-166 з оцінкою CVSS 8.9. Нова вразливість FG-IR-26-185 має ще вищу оцінку критичності, що вказує на триваючу серію проблем безпеки в цьому продукті.
Рекомендації
Оскільки інформація про зачеплені версії та доступні виправлення поки що не розкрита в бюлетені, рекомендується зосередитися на зменшенні поверхні атаки:
- Провести інвентаризацію усіх екземплярів FortiSandbox в інфраструктурі та визначити, які з них мають GUI-інтерфейс, доступний із недовірених сегментів мережі або з інтернету.
- Обмежити мережевий доступ до вебінтерфейсу керування FortiSandbox — дозволити підключення лише з довірених IP-адрес адміністраторів, використовуючи ACL на мережевому екрані або вбудовані засоби обмеження доступу.
- Посилити моніторинг — відстежувати аномальні HTTP-запити до інтерфейсу керування FortiSandbox, звертаючи увагу на спроби доступу до нестандартних шляхів та ендпоінтів.
- Стежити за оновленнями бюлетеня FG-IR-26-185 — Fortinet може доповнити його інформацією про зачеплені версії та випущені патчі.
З огляду на оцінку CVSSv3 9.6 і відсутність необхідності в автентифікації для експлуатації, ця вразливість потребує пріоритетної уваги. Головна дія зараз — переконатися, що вебінтерфейс керування FortiSandbox недоступний із недовірених мереж, і оперативно застосувати виправлення, щойно Fortinet опублікує інформацію про зачеплені версії та патч.
