Компания Fortinet получила сертификаты ФСТЭК на межсетевые экраны FortiGate

Компания Fortinet получила сертификаты ФСТЭК на межсетевые экраны FortiGate

Компания Fortinet сегодня объявила об успешном завершении сертификации девяти моделей межсетевых экранов FortiGate на соответствие требованиям Федеральной службы по техническому и экспортному контролю (ФСТЭК).

Как указано в сертификатах соответствия ФСТЭК России, межсетевой экран FortiGate с версией программного обеспечения 5.0 (сертификат № 3171) разработанный компанией Fortinet является программно-техническим средством защиты информации, не содержащей сведений, составляющих государственную тайну, и соответствует требованиям руководящих документов:

  • «Средства вычислительной техники. Межсетевые экраны. Защита от несанкционированного доступа к информации. Показатели защищённости от несанкционированного доступа к информации» (Гостехкомиссия России, 1997) по 3 классу защищенности;
  • «Защита от несанкционированного доступа к информации. Часть 1. Программное обеспечение средств защиты информации. Классификация по уровню контроля отсутствия недекларированных возможностей» (Гостехкомиссия России, 1999) – по 4 уровню контроля.

Полученные сертификаты показывают, что межсетевые экраны FortiGate могут быть использованы для защиты информации в информационных системах персональных данных до 1 уровня защищенности и в государственных информационных системах до 1 класса защищенности включительно, что указано в соответствующих приложениях к сертификату.

Сертификат соответствия № 3171 выдан Федеральной службой по техническому и экспортному контролю 30 июня 2014 г. Соответствующий сертификат получен на следующее оборудование производительностью от 200 МБит до 560 ГБит: FortiGate-40C-LENC, FortiGate-80C-LENC, FortiGate-100D-LENC, FortiGate-300C-LENC, FortiGate-600C-LENC, FortiGate-1000C-LENC, FortiGate-3040B-LENC, ForiGate-3950B-LENC, FortiGate-5101C-LENC. 

Устройства комплексной сетевой безопасности FortiGate обеспечивают непревзойденную производительность и защиту, одновременно упрощая сетевую инфраструктуру. Компания Fortinet предлагает широкий модельный ряд устройств, подходящих для самых различных заказчиков: от небольших предприятий и офисов, до крупных компаний и провайдеров. Для обеспечения всесторонней и высокопроизводительной защиты сети, платформы FortiGate используют операционную систему FortiOS™ с сопроцессорами FortiASIC и другим аппаратным обеспечением.

Устройства FortiGate обеспечивают высокую защиту против самых современных сетевых угроз и угроз на уровне приложений. Платформы FortiGate обладают широким сетевым функционалом, включая кластеризацию (active/active, active/passive) и виртуальные домены (VDOM).

«Получение сертификатов на межсетевые экраны FortiGate – очень важный и позитивный этап для развития нашего бизнеса в России. Мы можем с уверенностью заявить, что на сегодняшний день это самый производительный сертифицированный межсетевой экран в России. Сертификация по российским требованиям безопасности информации продуктов Fortinet даст нам возможность эксплуатировать платформы FortiGate в строгом соответствии с требованиями законодательства Российской Федерации. Мы также сможем предложить сертифицированные межсетевые экраны государственным заказчикам, крупным российским компаниям и другим потребителям. А также решить задачи, связанные с защитой персональных данных», - заявил Андрей Роговой, региональный директор Fortinet в России и СНГ.

Критическая уязвимость в плагине WPvivid Backup затронула 900 000 сайтов

Уязвимость, выявленная в популярном WordPress-плагине для создания резервных копий, позволяет без аутентификации загрузить на сайт вредоносный код PHP и запустить его на исполнение. Патч включен в состав WPvivid Backup & Migration 0.9.124.

Уязвимости подвержены все прежние версии продукта. Ввиду высокой опасности и масштабности проблемы (на счету WPvivid Backup уже свыше 900 тыс. установок) пользователям настоятельно рекомендуется произвести обновление.

Правда, в блог-записи Wordfence сказано, что CVE-2026-1357 (9,8 балла CVSS) критична лишь для тех, у кого настройки плагина предусматривают обработку сгенерированным ключом — в обеспечение загрузки резервных копий с других сайтов. По умолчанию эта возможность отключена, а срок действия ключа ограничен 24 часами.

Согласно описанию, причин появления уязвимости две: неадекватная обработки ошибок при расшифровке по RSA и отсутствие санации пути при записи загруженных файлов.

Как оказалось, когда плагин тщетно пытался расшифровать сеансовый ключ, он не завершал выполнение, а передавал ложное значение $key в phpseclib для инициализации шифрования.

Криптобиблиотека воспринимала его как строку нулевых байтов, что открыло возможность для шифрования полезной нагрузки дефолтным, легко угадываемым 0-байтовым ключом.

 

Ситуацию усугубило отсутствие проверок типа файлов и их расширений в функции send_to_site(). Это провоцировало выход за пределы защищенного каталога резервных копий — загрузку на сервер произвольного PHP-кода с записью в публично доступные места с тем, чтобы он каждый раз отрабатывал в браузере.

Апдейт, устраняющий эти недостатки, вышел 28 января. Автор опасной находки получил 2145 долларов в рамках программы Wordfence Bug Bount.

RSS: Новости на портале Anti-Malware.ru