近日，安识科技A-Team团队监测到Fortinet官方发布安全公告，修复了其多个产品中的一个身份验证绕过漏洞（CVE-2022-40684），其CVSSv3评分为9.6，目前已发现被利用。
对此，安识科技建议广大用户及时升级到安全版本，并做好资产自查以及预防工作，以免遭受黑客攻击。
漏洞名称：Fortinet多个产品身份验证绕过漏洞
简述：Fortinet（飞塔）是一家全球知名的网络安全产品和安全解决方案提供商，其产品包括防火墙、防病毒软件、入侵防御系统和终端安全组件等。
在受影响的FortiOS、FortiProxy 和 FortiSwitchManager产品的管理界面中，可以通过使用备用路径或通道绕过身份验证，并在未经认证的情况下通过特制的HTTP或HTTPS请求对管理界面进行操作。
在受影响的FortiOS、FortiProxy 和 FortiSwitchManager产品的管理界面中，可以通过使用备用路径或通道绕过身份验证，并在未经认证的情况下通过特制的HTTP或HTTPS请求对管理界面进行操作。
FortiProxy 版本 7.0.0 - 7.0.6
FortiSwitchManager 版本 7.2.0
FortiSwitchManager 版本 7.0.0
目前该漏洞已经修复。据调查，Internet 上可能存在超过 140,000 台可远程访问的 FortiGate防火墙（使用FortiOS系统），如果这些产品的管理界面也暴露于Internet，则很容易受到攻击。建议受影响用户尽快升级到以下版本：
FortiSwitchManager 版本 >= 7.2.1
https://fortiguard.fortinet.com/
无法立即升级的用户可以通过禁用HTTP/HTTPS管理界面，或使用本地策略限制可以访问管理界面的IP地址来缓解此漏洞，详见参考链接中的Fortinet安全公告。
【-】2022年10月10日 安识科技A-Team团队监测到漏洞公布信息
【-】2022年10月11日 安识科技A-Team团队根据漏洞信息分析
【-】2022年10月12日 安识科技A-Team团队发布安全通告
原文始发于微信公众号（SecPulse安全脉搏）：【漏洞预警】Fortinet多个产品身份验证绕过漏洞
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
点赞
https://cn-sec.com/archives/1345012.html
复制链接
复制链接
-
左青龙
- 微信扫一扫
-
-
右白虎
- 微信扫一扫
-
评论