【漏洞预警】Fortinet多个产品身份验证绕过漏洞 1. 通告信息
  

傅龙 19061人觉得有帮助

{{ttag.title}}
【漏洞预警】Fortinet多个产品身份验证绕过漏洞
1. 通告信息
近日,安识科技A-Team团队监测到Fortinet官方发布安全公告,修复了其多个产品中的一个身份验证绕过漏洞(CVE-2022-40684),其CVSSv3评分为9.6,目前已发现被利用。
对此,安识科技建议广大用户及时升级到安全版本,并做好资产自查以及预防工作,以免遭受黑客攻击。
2. 漏洞概述
漏洞名称:Fortinet多个产品身份验证绕过漏洞
CVE编号:CVE-2022-40684
简述:Fortinet(飞塔)是一家全球知名的网络安全产品和安全解决方案提供商,其产品包括防火墙、防病毒软件、入侵防御系统和终端安全组件等。
在受影响的FortiOS、FortiProxy 和 FortiSwitchManager产品的管理界面中,可以通过使用备用路径或通道绕过身份验证,并在未经认证的情况下通过特制的HTTP或HTTPS请求对管理界面进行操作。
3. 漏洞危害
在受影响的FortiOS、FortiProxy 和 FortiSwitchManager产品的管理界面中,可以通过使用备用路径或通道绕过身份验证,并在未经认证的情况下通过特制的HTTP或HTTPS请求对管理界面进行操作。
4. 影响版本
目前受影响的 Fortinet版本:
FortiOS 版本 7.2.0 - 7.2.1
FortiOS 版本 7.0.0 - 7.0.6
FortiProxy 版本 7.2.0
FortiProxy 版本 7.0.0 - 7.0.6
FortiSwitchManager 版本 7.2.0
FortiSwitchManager 版本 7.0.0
5. 解决方案
目前该漏洞已经修复。据调查,Internet 上可能存在超过 140,000 台可远程访问的 FortiGate防火墙(使用FortiOS系统),如果这些产品的管理界面也暴露于Internet,则很容易受到攻击。建议受影响用户尽快升级到以下版本:
FortiOS 版本 >= 7.2.2
FortiOS 版本 >= 7.0.7
FortiProxy 版本 >= 7.2.1
FortiProxy 版本 >= 7.0.7
FortiSwitchManager 版本 >= 7.2.1
下载链接:
https://fortiguard.fortinet.com/
缓解措施:
无法立即升级的用户可以通过禁用HTTP/HTTPS管理界面,或使用本地策略限制可以访问管理界面的IP地址来缓解此漏洞,详见参考链接中的Fortinet安全公告。
6. 时间轴
【-】2022年10月10日 安识科技A-Team团队监测到漏洞公布信息
【-】2022年10月11日 安识科技A-Team团队根据漏洞信息分析
【-】2022年10月12日 安识科技A-Team团队发布安全通告

打赏鼓励作者,期待更多好文!

打赏
34人已打赏

发表新帖
热门标签
全部标签>
每日一问
2024年技术争霸赛
技术盲盒
技术笔记
GIF动图学习
干货满满
技术咨询
产品连连看
功能体验
新版本体验
2023技术争霸赛专题
每周精选
信服课堂视频
信服圈儿
标准化排查
深信服技术支持平台
自助服务平台操作指引
华北区交付直播
秒懂零信任
畅聊IT
安装部署配置
华北区拉练
场景专题
答题自测
在线直播
网络基础知识
VPN 对接
终端接入
排障笔记本
社区帮助指南
通用技术
技术晨报
专家问答
技术圆桌
MVP
升级
安全攻防
上网策略
测试报告
日志审计
问题分析处理
流量管理
每日一记
运维工具
云计算知识
用户认证
原创分享
解决方案
sangfor周刊
项目案例
SANGFOR资讯
专家分享
技术顾问
信服故事
SDP百科
功能咨询
授权
设备维护
资源访问
地址转换
虚拟机
存储
迁移
加速技术
产品预警公告
玩转零信任
S豆商城资讯
技术争霸赛
「智能机器人」
追光者计划
答题榜单公布
纪元平台
卧龙计划
天逸直播
以战代练
山东区技术晨报
文档捉虫活动
齐鲁TV
北京区每日一练
故障笔记

本版版主

147
110
49

发帖

粉丝

关注

本版达人

新手89785...

本周建议达人

七嘴八舌bar

本周分享达人

新手76619...

本周提问达人