Fortinet 周一指出，上周修补的 CVE-2022-40684 身份验证绕过安全漏洞，正在野外被广泛利用。作为管理界面上的一个身份验证绕过漏洞，远程威胁参与者可利用其登录 FortiGate 防火墙、FortiProxy Web 代理、以及 FortiSwitch Manager（FSWM）本地管理实例。

上周四，Fortinet 通过安全更新修复了此漏洞，并通过电子邮件（所谓“高级通讯”）向部分客户发去了提醒，敦促其以最紧迫的方式、禁用受影响设备上的远程管理用户界面。

BleepingComputer 于上周五联系该公司，得知几天内会分享更多信息。但当被问及该漏洞是否在野外被积极利用时，Fortinet 发言人拒绝置评。

本周一，Fortinet 终于在一份咨询中称：

于 FortiOS、FortiProxy 和 FortiSwitchManager 中使用的备用路径 / 通道漏洞 [CWE-288] 绕过身份验证，或允许未经身份验证的攻击者、通过特制的 HTTP / HTTPS 请求在管理界面上执行操作。

Fortinet 已知悉某个漏洞利用实例，并建议客户根据设备日志中的如下危害指标（user="Local_Process_Access"），来立即验证您的系统。

在上周发布安全补丁后，Fortinet 就要求客户：

● 将易受攻击的 FortiOS 设备更新至 7.0.7 / 7.2.2 及更高版本、

● 将 FortiProxy 设备更新至 7.0.7 / 7.2.1 及更高版本、

● 将 FortiSwitchManager 设备更新至 7.2.1 或更高版本。

以下是不打补丁就易受攻击的 Fortinet 完整产品列表：

【FortiOS】7.2.1、7.2.0、7.0.6、7.0.5、7.0.4、7.0.3、7.0.2、7.0.1、7.0.0

【FortiProxy】7.2.0、7.0.6、7.0.5、7.0.4、7.0.3、7.0.2、7.0.1、7.0.0

【FortiSwitchManager】7.2.0、7.0.0

最后，Horizon3 安全研究人员已经开发了 CVE-2022-40684 的概念验证（PoC）漏洞利用代码，并计划在本周晚些时候发布。

由 Shodan 检索可知，目前互联网上有超过 14 万个 FortiGate 防火墙。若其管理员界面被暴露于公网，就很有可能遭受这一漏洞攻击。

对于无法立即更新的客户，Fortinet 也提供了缓解传入攻击的方法 —— 管理员应禁用 HTTP / HTTPS 管理界面、或使用本地策略来限制管理界面的 IP 地址访问。