“這是一個嚴重的漏洞，應該緊急處理，”該公司補充道。
Fortinet 已警告管理員將 FortiGate 防火牆和 FortiProxy 網絡代理更新到最新版本，以解決一個嚴重的嚴重漏洞。 該安全漏洞（跟踪為 CVE-2022-40684）是管理界面上的身份驗證繞過，可能允許遠程威脅參與者登錄未打補丁的設備。 “在 FortiOS 和 FortiProxy 中使用備用路徑或通道 [CWE-88] 繞過身份驗證可能允許未經身份驗證的攻擊者通過特製的 HTTP 或 HTTPS 請求在管理界面上執行操作， ”Fortinet 在今天發布的客戶支持公告中解釋道。
“這是一個嚴重的漏洞，應該緊急處理，”該公司補充道。 Fortinet 還向客戶發送了電子郵件，並建議他們立即更新到最新的可用版本。 “由於能夠遠程利用此問題，Fortinet 強烈建議所有使用易受攻擊版本的客戶立即進行升級，”該公司警告說。 根據Shodan 的搜索，超過 100,000 台 FortiGate 防火牆可以從 Internet 訪問，儘管它們的管理接口是否也被公開尚不清楚。
易受試圖利用 CVE-2022-40 漏洞攻擊的完整產品列表包括： FortiOS：從 7.0.0 到 7.0.6 和從 7.2.0 到 7.2.1 FortiProxy：從 7.0.0 到 7.0.6 和 7.2.0 根據今天的客戶支持公告， Fortinet 週四發布了安全補丁，要求客戶將易受攻擊的設備更新到 FortiOS/FortiProxy 版本7.0.7或7.2.2。
該公司還為那些無法立即部署安全更新的人提供了一種解決方法。 為了阻止遠程攻擊者繞過身份驗證並登錄到易受攻擊的 FortiGate 和 FortiProxy 部署，客戶應使用本地策略限制可以訪問管理界面的 IP 地址。 然而，正如在與“選定客戶的高級溝通”中所揭示的那樣，Fortinet 建議管理員禁用遠程管理用戶界面，以確保阻止潛在的攻擊。 “如果這些設備無法及時更新，則應立即禁用面向互聯網的 HTTPS 管理，直到可以執行升級，”Fortinet 說。 當被問及該漏洞是否在野外被積極利用時，Fortinet 發言人拒絕發表評論，並暗示該公司將在未來幾天分享更多信息。 Fortinet 發言人說：“客戶溝通通常會詳細介紹最新的指南，並建議下一步以最好地保護和保護他們的組織。” “在某些情況下，機密的提前客戶通信可以包括對諮詢的預警，以使客戶能夠進一步加強其安全態勢，然後將在未來幾天內向更廣泛的受眾公開發布。” 美國東部時間 10 月 7 日 13:22 更新：添加了 Fortinet 聲明。
英豈科技接收的特別通知及解決方式 此通知為 Fortnet 官方於 2022/10/10針對CVE-2022-40684 (https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-40684) 所發布的產品資安事件應變小組通報(Product Security Incident Response Team Advisory)PSIRT Advisory FG-IR-22-377(https://www.fortiguard.com/psirt/FG-IR-22-377)。 目前這些漏洞所影響的產品： FortiOS版本7.2.0到7.2.1 FortiOS版本7.0.0到7.0.6 FortiProxy版本7.2.0 FortiProxy版本7.0.0到7.0.6 FortiSwitchManager版本7.2.0 FortiSwitchManager版本7.0.0 建議受影響的用戶請立即更新至以下版本： 請更新至FortiOS版本7.2.2或以上 請更新至FortiOS版本7.0.7或以上 請更新至FortiProxy版本7.2.1或以上 請更新至FortiProxy版本7.0.7或以上 請更新至FortiSwitchManager版本7.2.1或以上 非受影響的版本或已更新到上述版本，則不需擔心此漏洞，不會造成任何影響。 若現行設備無法更新到所要求之版本，相關配套處理方式，請參考FortiGuard網站 PSIRT Advisory FG-IR-22-377 https://www.fortiguard.com/psirt/FG-IR-22-377 詳細資訊 或洽詢英豈科技 0800-899-580 服務窗口協助處理。
本專文說明，轉自https://www.bleepingcomputer.com/news/security/fortinet-warns-admins-to-patch-critical-auth-bypass-bug-immediately/?fbclid=IwAR1ai7qxbEKMQiwgeT7_R6DyqDQAy7Yys9Vl5QBlB0CGcLyTdHwre1Ly-6Q,內文及圖示皆屬該公司所有