A Fortinet alertou seus clientes em particular sobre uma falha de segurança que afeta os firewalls FortiGate e os proxies da Web FortiProxy que podem permitir que um invasor execute ações não autorizadas em dispositivos suscetíveis.
Rastreada como CVE-2022-40684 (pontuação CVSS: 9,6), a falha crítica está relacionada a uma vulnerabilidade de desvio de autenticação que pode permitir que um adversário não autenticado realize operações arbitrárias na interface administrativa por meio de uma solicitação HTTP(S) especialmente criada.
O problema afeta as seguintes versões e foi resolvido nas versões 7.0.7 e 7.2.2 do FortiOS e nas versões 7.0.7 e 7.2.1 do FortiProxy lançadas esta semana:
- FortiOS – De 7.0.0 a 7.0.6 e de 7.2.0 a 7.2.1
- FortiProxy – De 7.0.0 a 7.0.6 e 7.2.0
“Devido à capacidade de explorar esse problema remotamente, a Fortinet recomenda fortemente que todos os clientes com as versões vulneráveis façam uma atualização imediata”, alertou a empresa em um alerta compartilhado por um pesquisador de segurança que atende pelo pseudônimo Gitworm no Twitter.
Como soluções temporárias, a empresa recomenda que os usuários desativem a administração HTTPS voltada para a Internet até que as atualizações possam ser implementadas ou, alternativamente, apliquem uma política de firewall para ” tráfego local “.
Quando contatada para um comentário, a Fortinet reconheceu o aviso e observou que está adiando o aviso público até que seus clientes apliquem as correções.
“As comunicações oportunas e contínuas com nossos clientes são um componente essencial em nossos esforços para proteger e proteger melhor sua organização”, disse a empresa em comunicado. “As comunicações com o cliente geralmente detalham as orientações mais atualizadas e as próximas etapas recomendadas para melhor proteger e proteger sua organização.”
“Há casos em que as comunicações confidenciais antecipadas com os clientes podem incluir avisos antecipados sobreavisos para permitir que os clientes reforcem ainda mais sua postura de segurança, que será divulgada publicamente nos próximos dias para um público mais amplo. A segurança de nossos clientes é nossa primeira prioridade. “