- Kritična ranljivost CVE-2026-21643 v FortiClientEMS 7.4.4 omogoča vbrizgavanje SQL-a in morebitno oddaljeno izvajanje kode brez preverjanja pristnosti.
- Ranljivost je povezana z nevarnim ravnanjem z glavo HTTP Site v vmesni programski opremi, ki jo je mogoče izkoristiti prek javne končne točke /api/v1/init_consts.
- Izkoriščanje lahko povzroči popolno ogrožanje upravljalne baze podatkov, krajo poverilnic in spreminjanje pravilnikov, razdeljenih vsem končnim točkam.
- Ublažitev vključuje nadgradnjo na FortiClientEMS 7.4.5 ali novejšo različico, onemogočanje večnajemniškega načina, če ga ni mogoče takoj posodobiti, in omejitev dostopa do skrbniške konzole.
Varnost platform za upravljanje končnih točk je postala ključnega pomena za številna podjetja, najnovejši jasen primer pa je Fortinet in njegova rešitev FortiClient Endpoint Management Server (EMS). V zadnjih mesecih je bila odkrita kritična ranljivost SQL Injection, ki je prizadela zelo specifično različico izdelka, kar je v skupnosti za kibernetsko varnost povzročilo precejšnje zanimanje.
V tem članku bomo mirno razložili, kaj se dogaja s kritično ranljivostjo SQL injection v Fortinetu , kako deluje ranljivost CVE-2026-21643, kakšen dejanski vpliv ima na organizacije, kako se izkorišča v praksi in predvsem, katere nujne in srednjeročne ukrepe bi morali izvesti, če upravljate infrastrukturo, ki temelji na FortiClientEMS ali podobnih izdelkih.
Kontekst ranljivosti CVE-2026-21643 v FortiClientEMS
Ranljivost CVE-2026-21643 je bila po različnih virih razvrščena kot kritična, z oceno CVSS od 9.1 do 9.8, kar jo uvršča praktično na najvišjo stopnjo resnosti. Napaka se nahaja v strežniku FortiClient Endpoint Management Server (EMS), platformi, ki jo podjetja uporabljajo za uvajanje in upravljanje agentov FortiClient v svojih flotah uporabniških naprav.
Natančneje, težava vpliva na FortiClientEMS različice 7.4.4 veje 7.4, ko je omogočen način za več najemnikov (funkcionalnost »Spletna mesta«). Različici 8.0 in 7.2 ter instanci FortiEMS Cloud ta napaka ne vplivata, zato je Fortinet vsa priporočila za ublažitev osredotočil na okolja, ki še vedno uporabljajo različico 7.4.4 na lokaciji.
Do te injekcije SQL pride zaradi nepravilne nevtralizacije posebnih elementov v stavkih SQL , kar je razvrščeno pod CWE-89. V praksi omogoča nepreverjenemu oddaljenemu napadalcu, da pošlje posebej oblikovane zahteve HTTP in povzroči, da strežnik izvaja poljubne ukaze SQL, kar lahko povzroči oddaljeno izvajanje kode (RCE) s privilegiji uporabnika baze podatkov.
Fortinetova varnostna opozorila kažejo, da je ranljivost v komponenti grafičnega uporabniškega vmesnika FortiClientEMS , natančneje v spletnem vmesniku, ki ga skrbniki uporabljajo za upravljanje in spremljanje končnih toček. To pomeni, da vsak primerek z vmesnikom, dostopnim prek interneta, postane glavna tarča napadalcev.
Kako kritično SQL injekcijo izvira iz Fortineta
Korenina težave je povezana z večjim preoblikovanjem vmesne programske opreme v FortiClientEMS 7.4.4 . Med to revizijo kode so razvijalci spremenili način, kako aplikacija obravnava povezave z bazo podatkov PostgreSQL in usmerjanje najemnikov, s čimer so nenamerno uvedli napako v datoteko povezave.
V tej novi logiki strežnik neposredno posreduje Glava HTTP Site na posvet search_path avtor PostgreSQLCilj je bil izbrati shemo, ki ustreza vsakemu najemniku na podlagi te glave, vendar je velika težava v tem, da vmesna programska oprema ne izvede ustreznega preverjanja ali sanacije te vrednosti.
Posledično lahko napadalec prekine predvideno obliko niza in v stavek SQL vstavi svoj zlonamerni koristni tovor , pri čemer vbrizga poljubne ukaze, ki jih bo baza podatkov izvedla z visokimi privilegiji, ki jih je uporabnik storitve konfiguriral v virtualnem stroju Fortinet.
Tveganje je še večje, ker se ta ranljiva vmesna programska oprema izvede pred kakršnim koli preverjanjem pristnosti . Z drugimi besedami, ni treba se prijaviti ali imeti poverilnic: za poskus izkoriščanja ranljivosti je dovolj že pošiljanje spremenjene zahteve HTTPS s spremenjeno glavo spletnega mesta.
Ta vzorec se popolnoma ujema s scenarijem CVSS 3.1 za AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H , kjer napad prispe prek omrežja, ima nizko kompleksnost, ne zahteva predhodnih privilegijev ali interakcije uporabnika in popolnoma ogrozi zaupnost, integriteto in razpoložljivost prizadetega sistema.
Vektor napada: končna točka /api/v1/init_consts in glava spletnega mesta
Varnostni raziskovalci, kot je ekipa Bishopa Foxa, so pojasnili, da se najbolj praktičen vektor napada nahaja na končni točki. javno dostopno /api/v1/init_consts, pot API-ja FortiClientEMS, ki se uporablja med inicializacijo vmesnika.
Napadalci lahko to končno točko najprej uporabijo za Preverite, ali je omogočen način za več najemnikovČe odkrijejo, da je funkcionalnost Sites omogočena, nadaljujejo z vbrizgavanjem koristnih podatkov SQL prek glave HTTP. Site, pri čemer se izkorišča dejstvo, da se vrednost poda stavku brez čiščenja search_path.
Ta končna točka ima več pomanjkljivosti v zasnovi: prvič, nima mehanizmov za omejevanje hitrosti in specifičnih obrambnih ukrepov pred surovo silo; drugič, v telesu odgovora neposredno vrne sporočila o napakah, ki jih ustvari PostgreSQL. To napadalcu močno olajša delo.
Z tako eksplicitnim prejemom teh napak lahko zlonamerni akter v eni sami zahtevi izvede tehnike ekstrakcije na podlagi napak , ne da bi se moral zateči k veliko počasnejšim, časovno omejenim injekcijam. To omogoča izjemno hitro naštevanje občutljivih tabel, stolpcev in podatkov.
Če je izkoriščanje uspešno, napadalec doseže scenarij popolne ogroženosti baze podatkov za upravljanje končnih točk . Ker uporabnik baze podatkov deluje s privilegiji superuporabnika PostgreSQL, lahko ne le ukrade informacije, temveč tudi izvede oddaljeno kodo v osnovnem operacijskem sistemu.
Dejanski vpliv na organizacijo in upravljane končne točke
Vpliv te ranljivosti daleč presega preprosto uhajanje podatkov. Zmožnost izvajanja poljubnega SQL-a v podatkovni bazi FortiClientEMS napadalcem omogoča krajo skrbniških gesel, digitalnih potrdil in popolne popise naprav, povezanih s platformo.
S to stopnjo dostopa lahko akter grožnje spreminja varnostne politike in distribuira zlonamerne konfiguracije vsem upravljanim končnim točkam. To odpira vrata zapletenim scenarijem, v katerih lastni varnostni agenti organizacije postanejo vektor napada v notranje omrežje.
Poleg tega ogrožanje upravljalne baze podatkov vpliva tudi na zaupnost shranjenih podatkov (npr. informacije o uporabnikih, opremi, pravilnikih in potrdilih), integriteto (sprememba pravil, predlog in dodelitev) in razpoložljivost (morebitno brisanje podatkov ali sabotaža upravljalnega strežnika).
Ta grožnja se ujema z vse pogostejšim trendom napadov na robne naprave in sisteme za upravljanje , ki jih kibernetski kriminalci zelo cenijo, saj delujejo kot koncentratorji informacij in nadzorujejo velike količine končnih toček.
Zaradi vseh zgoraj navedenih razlogov je Fortinet to ranljivost uvrstil med kritične, varnostne agencije in podjetja pa priporočajo, da se vsak izpostavljeni primerek FortiClientEMS 7.4.4 obravnava kot sredstvo z največjim tveganjem, dokler se ne dokaže drugače.
Območje aktivnega izkoriščanja in izpostavljenosti
Čeprav so nekatera začetna poročila nakazovala, da ni bilo zaznane aktivne zlorabe, so raziskovalci podjetja Defused potrdili dejanske napade, ki so izkoristili ranljivost CVE-2026-21643, le štiri dni preden je bila ta ranljivost javno objavljena.
Podatki, ki so jih zbrale organizacije, kot je Shadowserver, kažejo, da je bilo v času spremljanja približno 2.000 primerkov FortiClientEMS neposredno izpostavljenih internetu . Združene države so bile na vrhu statistike s približno 756 ranljivimi strežniki, sledila pa jim je Evropa z več kot 680. Shodan je zaznal tudi več kot 1.000 javno dostopnih spletnih vmesnikov FortiClientEMS, mnogi verjetno brez popravkov.
Uradni vnos v register NIST za CVE-2026-21643 podpira to izjemno resnost in prikazuje vektor AV:N/AC:L/PR:N/UI:N z velikim vplivom na C, I in A. To pomeni, da je mogoče kateri koli strežnik FortiClientEMS 7.4.4 z odprtim spletnim vmesnikom popolnoma ogroziti, ne da bi napadalec potreboval poverilnice ali prepričal katerega koli uporabnika, da karkoli klikne.
Defused je te izkoriščanja prijavil 28. marca in opozoril, da kljub temu ranljivost še ni bila navedena v katalogu KEV (Known Exploited Vulnerabilities) CISA ali drugih javnih seznamih aktivno izkoriščanih napak, kar se običajno zgodi v teh začetnih obdobjih izkoriščanja.
Po drugi strani pa je Fortinet popravek že februarja izdal z različico 7.4.5, kar jasno kaže na ponavljajoč se vzorec v kibernetski varnosti: med razpoložljivostjo popravka in njegovo dejansko uvedbo v produkcijo je precejšen časovni razmik, obdobje, v katerem napadalci izkoristijo priložnost za ogrožanje sistemov, ki še niso posodobljeni.
Kazalniki kompromitacije in znaki napada
Za skrbnike, ki upravljajo FortiClientEMS, je ključnega pomena, da razumejo namige, ki jih pusti morebiten poskus izkoriščanja. Ključni kazalniki kompromitacije (IoC) vključujejo naslednje:
Najprej poudarjajo, nenavadno dolgi odzivni časi, od 5 do več kot 20 sekund, na končnih točkah /api/v1/auth/signin o /api/v1/init_consts, kot je razvidno iz dnevnikov dostopa Apacheja ali drugega spletnega strežnika, ki je pred njim.
Prav tako je to opozorilni znak, ki ga je treba videti Ponavljajoči se odgovori HTTP 500 z istega naslova IP proti končni točki /api/v1/init_constsTa vzorec lahko kaže, da napadalec s poskusi in napakami izpopolnjuje svoje koristne podatke za vbrizgavanje SQL, dokler ne najde takšnega, ki deluje in ne povzroča napak.
Poleg tega je vredno pogledati dnevnike napak PostgreSQL. poizvedbe search_path z enojnimi narekovaji, podpičji ali ključnimi besedami SQL kot SELECT, INSERT o UPDATE zunaj pričakovanega konteksta. Ta vrsta sledi običajno neposredno kaže na poskus manipulacije glave spletnega mesta.
Kot odzivni ukrep je treba vsak strežnik FortiClientEMS 7.4.4, ki je bil izpostavljen internetu brez ustreznih posodobitev, obravnavati kot potencialno ogrožen . To vključuje izolacijo strežnika od omrežja, izvedbo podrobne forenzične analize (baze podatkov, operacijskega sistema in dnevnikov) ter načrtovanje nadzorovane rekonstrukcije okolja, če se najdejo dokazi o vdoru.
Takojšnja ublažitev in uradna rešitev s strani Fortineta
Primarni ukrep za ublažitev je jasen: čim prej posodobiti FortiClientEMS 7.4.4 na različico 7.4.5 ali novejšo . Fortinet je ranljivost odpravil tako, da je interpolacijo nizov v poizvedbi zamenjal z ustrezno obravnavo parametriziranih identifikatorjev in varnim izogibanjem vnosu iz glave spletnega mesta.
Različici 8.0 in 7.2 ter FortiEMS Cloud ne zahtevata dodatnih ukrepov , saj nanje ta specifična ranljivost ne vpliva. Kljub temu je še vedno dobro pregledati svojo izpostavljenost internetu in konfiguracije dostopa, saj je treba površino napadov na upravljalne konzole vedno zmanjšati.
Za ekipe, ki zaradi operativnih razlogov ne morejo takoj namestiti popravka, nekateri raziskovalci priporočajo začasno ublažitev: onemogočanje funkcionalnosti »Spletna mesta« za več najemnikov . To dejanje prepreči izvajanje ranljive kodne poti, povezane z glavo Site, kar znatno zmanjša možnosti izkoriščanja.
Prav tako je bistveno omejiti spletni dostop do vmesnika za upravljanje EMS samo na zaupanja vredna notranja omrežja . V idealnem primeru bi morala biti konzola nameščena za VPN ali mehanizmom za dostop z ničelnim zaupanjem in nikoli ne bi smela biti neposredno izpostavljena internetu, razen v zelo izjemnih in ustrezno zavarovanih primerih.
Poleg tega je priporočljivo pregledati in okrepiti pravila požarnega zidu in morebitne WAF-e pred FortiClientEMS , uporabiti filtre, ki blokirajo tipične vzorce vbrizgavanja SQL v glavah HTTP, zlasti v glavi Site, in skrbno spremljati morebitne anomalne zahteve API-ja.
Dobre varnostne prakse po posodobitvi
Poleg preprostega nameščanja popravkov in specifičnih ukrepov za ublažitev ranljivosti ta incident jasno kaže, da mora biti upravljanje ranljivosti stalen proces in ne le enkratna reakcija na obvestilo prodajalca. Organizacije, ki se zanašajo na platforme za upravljanje končnih točk in rešitve za omrežno varnost, bi morale okrepiti svojo strategijo na več področjih.
Po eni strani je bistveno imeti posodobljen popis sredstev in različic , tako da je ob objavi kritične CVE mogoče v nekaj minutah ugotoviti, kateri sistemi so ranljivi, in določiti prioritete njihovih posodobitev glede na stopnjo izpostavljenosti in kritičnosti.
Po drugi strani pa je priporočljivo, da se odločite za občasne penetracijske teste in preglede arhitekture , ki potrjujejo ne le robustnost samega izdelka, temveč tudi način njegove uvedbe: segmentacijo omrežja, ločitev upravljalnih ravnin, omejitve dostopa, centralizirano spremljanje dnevnikov in odkrivanje nepravilnega vedenja.
Z razvojnega vidika ta primer ponovno dokazuje pomen uporabe varnih razvojnih praks in regresijskega testiranja pri vsakem poglobljenem preoblikovanju vmesne programske opreme ali kritičnih komponent. Izboljšave zmogljivosti ali skalabilnosti ne morejo spremljati koraka nazaj pri tako osnovnih mehanizmih, kot je sanitizacija vhodnih podatkov.
Podjetja, specializirana za kibernetsko varnost in varen razvoj, ponujajo storitve revizije kode, testiranja penetracije in svetovanja, posebej zasnovane za odkrivanje teh ranljivosti, preden dosežejo produkcijo. V okoljih, ki združujejo lokalno infrastrukturo, oblak in robne naprave, je zanašanje na zunanje strokovnjake pogosto ključnega pomena.
Končno je na ravni upravljanja in poslovanja zelo koristno imeti nadzorne plošče in poslovno inteligenco , ki omogočajo vizualizacijo stanja ranljivosti, izpostavljenosti upravljalnih vmesnikov in morebitnega vpliva kritične napake na procese organizacije. Ta pristop omogoča določanje prioritet naložb in utemeljitev preventivnih ukrepov, ki se na prvi pogled morda zdijo dragi, vendar srednjeročno rešijo številne težave.
Kombinacija resne napake v zasnovi, velike površine za napad in običajne zamude pri nameščanju popravkov naredi CVE-2026-21643 učbeniški primer, zakaj varnosti upravljalne konzole nikoli ne gre podcenjevati. Vsaka organizacija, ki uporablja FortiClientEMS ali podobne rešitve, bi morala ta incident vzeti kot poziv k prebujanju, da pregleda svojo varnostno držo, pospeši cikle posodabljanja in okrepi obrambo okoli svojih upravljalnih platform, preden jih še ena ranljivost ničtega dne ali injekcija SQL znova postavi v slabši položaj.
