O vulnerabilitate critică a interfeței grafice FortiSandbox permite ocolirea procesului de autentificare

Fortinet a dezvăluit o vulnerabilitate critică de ocolire a autentificării în interfața grafică de utilizator FortiSandbox, care ar putea permite atacatorilor la distanță să acceseze funcții protected fără credențiale valide.

Identificată ca CVE-2026-107656, vulnerabilitatea prezintă un scor CvSS v3 de 9.6/10 și afectează atât dispozitivele FortiSandbox, cât și anumite versiuni FortiSandbox PaaS.

Vulnerabilitatea este clasificată ca CWE-288, ocolirea autentificării folosind o cale sau un canal alternativ. Un atacator la distanță ar putea trimite cereri HTTP special create pentru a ocoli autentificarea prin interfața grafică (GUI). Vectorul CVSS furnizat descrie un atac de rețea cu complexitate redusă, fără privilegii necesare și fără interacțiune din partea utilizatorului.

Versiunile FortiSandbox de la 5.0.0 la 5.0.6 sunt afectate și necesită o actualizare la versiunea 5.0.7 sau o versiune ulterioară. Versiunile de la 4.4.0 la 4.4.9 necesită o actualizare la versiunea 4.4.10 sau o versiune ulterioară. FortiSandbox 5.2 nu este afectat.

Pentru FortiSandbox PaaS, versiunile de la 5.0.0 la 5.0.6 necesită o actualizare la versiunea 5.0.7 sau o versiune ulterioară. Toate versiunile PaaS 4.4 sunt afectate, iar Fortinet recomandă utilizatorilor să migreze către o versiune remediată. PaaS 5.2 nu este afectat. Nu este menționat niciun patch virtual.

Sursă: https://cybersecuritynews.com/fortisandbox-gui-vulnerability/