Fortinet：立即修复这个严重的认证绕过漏洞！

该漏洞是位于管理员界面上的一个认证绕过漏洞，可导致远程威胁者登录到未修复设备中。

Fortinet 公司在客户支持安全通告中指出，“通过FortiOS和FortiProxy 中的可选路径或信道而实施的认证绕过，可导致未认证攻击者通过特殊构造的 HTTP或HTTPS请求在管理员接口上执行操作。”

该公司指出，“这是一个严重漏洞，应当立即处理。”该公司还向客户发送邮件，建议客户立即更新至最新版本。它提醒称，“由于攻击者可远程利用该漏洞，Fortinet强烈建议使用易受攻击版本的所有客户立即升级版本。”

从Shodan搜索结果来看，超过10万台FortiGate防火墙可从互联网访问，尽管目前尚不清楚其管理接口是否已遭暴露。

易受影响的产品包括：

从客户支持安全通告来看，Fortinet 公司在本周四发布安全补丁，要求客户将易受攻击设备升级至FortiOS/FortiProxy 版本7.0.7或7.2.2版本。

Fortinet 公司还为无法立即部署安全更新的组织机构发布缓解措施。

要阻止远程攻击这绕过认证并登录易受攻击的 FortiGate 和 FortiProxy 部署，客户应当通过local-in-policy来限制可访问管理员接口的IP地址。然而，在和“精选客户”的提前沟通中，Fortinet公司建议管理员禁用远程管理用户接口，确保拦截潜在攻击。该公司表示，“如果设备无法即使升级，则应当立即禁用面向互联网的 HTTPS管理员，直到执行升级时。”

Fortinet 公司的发言人拒绝就该漏洞是否遭在野利用置评，并表示公司将在后续发布更多消息。这名发言人指出，“客户沟通通常会详细说明最及时的指南和推荐步骤，以最好地保护组织机构的安全。机密的提前客户沟通情况中包括关于安全公告的尽早提醒，使客户能够进一步增强安全态势，而这些安全通告将在几天内向更广范围的客户发布。”