В демоне fgfmd, служебном процессе платформы управления FortiManager, обнаружено внедрение команд операционной системы. Fortinet пересмотрела и старую проблему веб-интерфейса FortiManager и FortiAnalyzer. Там разметка не очищается, что открывает путь к межсайтовому скриптингу. Первая уязвимость позволяет выполнить произвольный код на устройстве, вторая дает возможность подставить чужой HTML-код в страницу панели управления. Обе отнесены к средней степени опасности, следов эксплуатации в реальных атаках нет.
Командная инъекция и межсайтовый скриптинг в продуктах Fortinet
Внедрение команд в демоне fgfmd
Уязвимость CVE-2026-106171 живет в обработке служебных пакетов демона fgfmd. FortiManager управляет политиками безопасности из одной точки, поэтому выполнение посторонних команд на этом устройстве выходит за пределы одного узла сети. Обнаружили проблему внешние исследователи.
Чтобы применить уязвимость, злоумышленник выдает себя за узел кластера FortiManager. Для этого ему нужны сертификат этого узла и связанный с ним закрытый ключ. Без такой пары поддельные пакеты доверия не получат. Условие с сертификатом сужает круг потенциальных атакующих теми, кто уже получил доступ к инфраструктуре организации.
Специально сформированные пакеты приводят к исполнению команд, которых разработчик не предполагал. Последствие вендор описывает как повышение привилегий: атакующий получает доступ к функциям за пределами своих полномочий.
Рейтинг по CVSS (общая система оценки уязвимостей) версии 3 невысок - 5,3 балла. Тип атаки помечен как требующий аутентификации, что совпадает с условием о сертификате. Виртуального патча вендор не предлагает, данных об эксплуатации нет.
Уязвимы FortiManager 8.0.0 и ветка 7.6 вплоть до 7.6.6. Та же ошибка есть в облачной версии FortiManager Cloud 7.6.2-7.6.6. Ветки 7.4 и 7.2, а также FortiManager Cloud 8.0 проблеме не подвержены.
Подстановка разметки в веб-интерфейсе
Вторая уязвимость - CVE-2020-12811. Поле с именем поставщика удостоверений в веб-интерфейсе не отсеивает HTML-теги. Посторонняя разметка попадает в страницу панели управления и срабатывает в браузере того, кто ее откроет. А панелью пользуются администраторы безопасности, то есть риск касается их рабочих мест.
Последствие вендор относит к выполнению неавторизованного кода и команд. Тип атаки указан как не требующий аутентификации. Рейтинг по CVSS версии 3 - 4,9 балла, тоже середина шкалы.
Проблема не новая. Первую публикацию бюллетеня Fortinet сделала 21 сентября 2020 года. Тринадцатого октября 2026 года вендор обновил запись, уточнив временной рейтинг. Нашел уязвимость Данило Коста из компании PBI Dynamic IT Security.
Затронуты FortiManager и FortiAnalyzer версий с 6.2.0 по 6.2.6 включительно. Исправление появилось в линии 6.4.0, то есть обновляться придется через несколько выпусков сразу.
Исправленные версии и действия администраторов
Для демона fgfmd закрывающие сборки такие: FortiManager 8.0.1 и FortiManager 7.6.7, для облачной версии - 7.6.7 и новее. Межсайтовый скриптинг закрыт в FortiManager 6.4.0 и FortiAnalyzer 6.4.0.
Виртуальных патчей, которые прикрыли бы обе дыры без обновления, вендор не выпустил. Установка новых версий остается единственным способом снять риск.
Доступ к сертификату и закрытому ключу узла кластера ограничивают, поскольку именно эта пара открывает путь к внедрению команд. Отдельная задача - инвентаризация: если в парке остались устройства на ветке 6.2, исправление для них означает переход на линию 6.4.
Две уязвимости попали в один бюллетень по разным поводам. Свежая ошибка в демоне fgfmd затрагивает актуальные ветки 8.0 и 7.6, тогда как межсайтовый скриптинг тянется с 2020 года и закрыт только в линии 6.4. Для администраторов, которые держат FortiManager и FortiAnalyzer на 6.2, обновление означает смену ветки. Пока этого не произошло, подстановка разметки в веб-интерфейсе остается возможной.
Ссылки
- https://fortiguard.fortinet.com/psirt/FG-IR-26-177
- https://fortiguard.fortinet.com/psirt/FG-IR-20-005
