-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA512 ##################################################### ## N C S C ~ B E V E I L I G I N G S A D V I E S ## ##################################################### Titel : Kwetsbaarheden verholpen in Fortinet FortiMail Advisory ID : NCSC-2026-0487 Versie : 1.00 Kans : medium CVE ID : CVE-2026-126144, CVE-2026-126145, CVE-2026-126146, CVE-2026-126147, CVE-2026-126148, CVE-2026-126149, CVE-2026-126150, CVE-2026-126151, CVE-2026-126152, CVE-2026-126153, CVE-2026-126154, CVE-2026-126155, CVE-2026-126156, CVE-2026-126157, CVE-2026-126158, CVE-2026-126159, CVE-2026-126160, CVE-2026-126161, CVE-2026-126162, CVE-2026-126163, CVE-2026-126164, CVE-2026-126165, CVE-2026-126166, CVE-2026-126167, CVE-2026-126168, CVE-2026-126169, CVE-2026-126263 (Details over de kwetsbaarheden kunt u vinden op de Mitre website: https://cve.mitre.org/cve/) Schade : high Improper Limitation of a Pathname to a Restricted Directory Improper Neutralization of Special Elements used in a Command Improper Neutralization of Special Elements used in an OS Command Improper Neutralization of Argument Delimiters in a Command Improper Neutralization of Special Elements used in an SQL Command XML Injection Use of Externally-Controlled Format String Integer Overflow or Wraparound Incorrect Implementation of Authentication Algorithm Authorization Bypass Through User-Controlled Key Weak Password Recovery Mechanism for Forgotten Password Out-of-bounds Write Memory Allocation with Excessive Size Value Incorrect Authorization Uitgiftedatum : 20261112 Toepassing : Fortinet FortiMail Versie(s) : Platform(s) : Beschrijving Fortinet heeft meerdere kwetsbaarheden verholpen in FortiMail. De kwetsbaarheden in FortiMail betreffen onder andere OS command injection, path traversal, SQL-injectie, authenticatie- en autorisatieproblemen, argument injection, XML-injectie, en resource consumptie. Sommige kwetsbaarheden kunnen door ongeauthenticeerde aanvallers worden misbruikt, terwijl andere authenticatie vereisen. Exploitatie kan leiden tot het uitvoeren van ongeautoriseerde commando's op root-niveau, het omzeilen van authenticatie en autorisatie, het resetten van wachtwoorden van webmailgebruikers, het lezen en verzenden van versleutelde e-mails namens andere gebruikers, het verwijderen van gebruikers in multi-tenant omgevingen, en het veroorzaken van denial-of-service door crashes of resource uitputting. De kwetsbaarheden beïnvloeden verschillende versies van FortiMail, met name versies tussen 7.2 en 8.0.2, en hebben impact op kernfunctionaliteiten zoals mailverwerking, webmailinterfaces, administratieve interfaces, en integratie met FortiAuthenticator. Mogelijke oplossingen Fortinet heeft updates uitgebracht om de kwetsbaarheden in FortiMail te verhelpen. Zie bijgevoegde referenties voor meer informatie. Referenties: Reference https://fortiguard.fortinet.com/psirt/FG-IR-26-196 Reference https://fortiguard.fortinet.com/psirt/FG-IR-26-197 Reference https://fortiguard.fortinet.com/psirt/FG-IR-26-198 Reference https://fortiguard.fortinet.com/psirt/FG-IR-26-199 Reference https://fortiguard.fortinet.com/psirt/FG-IR-26-200 Reference https://fortiguard.fortinet.com/psirt/FG-IR-26-201 Reference https://fortiguard.fortinet.com/psirt/FG-IR-26-202 Reference https://fortiguard.fortinet.com/psirt/FG-IR-26-203 Reference https://fortiguard.fortinet.com/psirt/FG-IR-26-204 Reference https://fortiguard.fortinet.com/psirt/FG-IR-26-205 Reference https://fortiguard.fortinet.com/psirt/FG-IR-26-206 Reference https://fortiguard.fortinet.com/psirt/FG-IR-26-207 Reference https://fortiguard.fortinet.com/psirt/FG-IR-26-208 Reference https://fortiguard.fortinet.com/psirt/FG-IR-26-209 Reference https://fortiguard.fortinet.com/psirt/FG-IR-26-210 Reference https://fortiguard.fortinet.com/psirt/FG-IR-26-211 Reference https://fortiguard.fortinet.com/psirt/FG-IR-26-212 Reference https://fortiguard.fortinet.com/psirt/FG-IR-26-213 Reference https://fortiguard.fortinet.com/psirt/FG-IR-26-214 Reference https://fortiguard.fortinet.com/psirt/FG-IR-26-215 Reference https://fortiguard.fortinet.com/psirt/FG-IR-26-216 Reference https://fortiguard.fortinet.com/psirt/FG-IR-26-217 Reference https://fortiguard.fortinet.com/psirt/FG-IR-26-218 Reference https://fortiguard.fortinet.com/psirt/FG-IR-26-277 Vrijwaringsverklaring Door gebruik van deze security advisory gaat u akkoord met de navolgende voorwaarden. Ondanks dat het NCSC de grootst mogelijke zorg heeft betracht bij de samenstelling van dit beveiligingsadvies, kan het NCSC niet instaan voor de volledigheid, juistheid of (voortdurende) actualiteit van dit beveiligingsadvies. De informatie in dit beveiligingsadvies is uitsluitend bedoeld als algemene informatie voor professionele partijen. Aan de informatie in dit beveiligingsadvies kunnen geen rechten worden ontleend. Het NCSC en de Staat zijn niet aansprakelijk voor enige schade ten gevolge van het gebruik of de onmogelijkheid van het gebruik van dit beveiligingsadvies, waaronder begrepen schade ten gevolge van de onjuistheid of onvolledigheid van de informatie in dit beveiligingsadvies. Op dit beveiligingsadvies is Nederlands recht van toepassing. Alle geschillen in verband met en/of voortvloeiend uit dit beveiligingsadvies zullen worden voorgelegd aan de exclusief bevoegde rechter te Den Haag. Deze rechtskeuze geldt tevens voor de voorzieningenrechter in kort geding. -----BEGIN PGP SIGNATURE----- iQGzBAEBCgAdFiEEGSwziqblmmRNtImqgupWoL0ZhGEFAmr1ftwACgkQgupWoL0Z hGHPrgv+PgB8PxS9msHbqB4QfzU6BrAisj1q60E+/Yh6uFXpMtjNpV9w2DhOUAtv lSKYyIC+V+8sZFoMinV4EwYcZR8pEU6pqbAKBS+nf2Zeit/Z1mFu2OlnjdUQBhG5 hX8bVW7m+ex9RQoQ4Fdw9CugQTtlsIO4etJvGJ5molfqXznxY039RtgRVt9kaIGk YAtGbtiWQJJbbZFzK7VBrkXVUje+4Fawu2tawXZBx4ZR56VNby8655FkmzUD1EgQ m2w8IvgpucUYXeIhDBay7aIWtyBv+Z5aQZimG+9kvkKQwN2seR0BrfbZMifqiayx O4y8T2vbQP/3gCxXK+/tKlvbO3eFftSgo9H1Zq9Ee15mcBKP3S/XNDoJjM53Jc5S hR3Rl+qq3VeMq2oOj4Ficgx7TbR48LOuZNB2M+ArT8eFXM2YT8KOiNlVyYSHtTQY igMJCNat/sMlYFsiSHHcTV1D+FiFLSUrwTPOw7P+ageShaNs0lr7UPb8z1fjYs6q Zczc1jEQ =/g/p -----END PGP SIGNATURE-----