CVE-2026-59836

Nieprawidłowa walidacja certyfikatów w Fortinet FortiClientEMS

CVSS 7.5v3.1pub. 2026-07-14upd. 2026-07-15

Podatność typu improper certificate validation (CWE-295) w Fortinet FortiClientEMS umożliwia nieuwierzytelnionemu atakującemu ujawnienie informacji. Dotyczy wielu wspieranych gałęzi produktu i wymaga interakcji użytkownika po stronie ofiary.

▸ Pokaż oryginał (EN)

A improper certificate validation vulnerability in Fortinet FortiClientEMS 7.4.3 through 7.4.5, FortiClientEMS 7.4.0 through 7.4.1, FortiClientEMS 7.2 all versions may allow attacker to information disclosure via <insert attack vector here>

🤖 Analiza AI

Jak działa

Błąd polega na nieprawidłowej weryfikacji certyfikatów TLS/SSL przez aplikację FortiClientEMS. Atakujący może podstawić fałszywy certyfikat, który nie zostanie prawidłowo odrzucony przez podatną instancję. Udane wykorzystanie wymaga udziału użytkownika (UI:R) oraz wyższej złożoności ataku (AC:H), co sugeruje konieczność przeprowadzenia ataku typu man-in-the-middle lub podobnego scenariusza przechwycenia komunikacji.

Skutki

Atakujący może uzyskać dostęp do poufnych informacji przesyłanych przez FortiClientEMS (ujawnienie danych). Ze względu na wskaźniki CVSS obejmujące pełny wpływ na poufność, integralność i dostępność, skutki mogą wykraczać poza samo ujawnienie informacji.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Szczegółowe zalecenia dotyczące wersji naprawczych dostępne są w biuletynie bezpieczeństwa Fortinet: https://fortiguard.fortinet.com/psirt/FG-IR-26-147