CVE-2019-6693: chiave crittografica hard-coded in FortiOS

CVE-2019-6693 descrive l'utilizzo di una chiave crittografica hard-coded in FortiOS per cifrare i file di backup della configurazione. Chiunque acceda al file di backup può decifrare dati sensibili tra cui password degli utenti (esclusa admin), passphrase di chiavi private e password High Availability. FortiOS è ampiamente deployato in ambienti aziendali per appliance di sicurezza di perimetro e centrale.

La vulnerabilità ha CVSS 6,5 (medium) secondo la valutazione dichiarata. Pubblicata su NVD il 21 novembre 2019, è stata documentata per oltre sei anni. Un segnale su GitHub è stato registrato il 7 novembre 2026, che segnala l'esistenza di repository pubblici dichiaranti di contenere materiale correlato a exploit. Tale segnale recente solleva attenzione su una vulnerabilità potenzialmente trascurata dai gestori di infrastrutture FortiOS.

Gli amministratori di FortiOS devono valutare subito l'accesso fisico e logico ai file di backup. Se i backup non sono conservati in ambienti protetti con controllo rigoroso di accesso, rappresentano un rischio concreto di esposizione di credenziali critiche. I dati disponibili non contengono informazioni su patch ufficiali. Applicare principi di zero trust agli archivi di backup e verificare le politiche di accesso, sia in sede che in remoto.