Уязвимость операционной системы FortiOS связана с недостатками процедуры аутентификации. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, войти в систему без запроса второго фактора аутентификации (FortiToken)
Установка обновлений из доверенных источников.
В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.
Компенсирующие меры:
1. Использование аутентификации через LDAP только для пользователей, не использующих двухфакторную аутентификацию.
2. Для пользователей, использующих двухфакторную аутентификацию, удаление одноименных записей в LDAP или выделение их в отдельную группу, не используемую в FortiGate.
При невозможности выполнения указанных мер рекомендуется использование FortiAuthenticator или отключение аутентификации через LDAP.
Дополнительная информация:
https://community.fortinet.com/t5/FortiGate/Technical-Tip-Description-of-CVE-2020-12812-bypassing-two-factor/ta-p/197737
Использование рекомендаций производителя:
https://www.fortiguard.com/psirt/FG-IR-19-283
| Балл | 10 — критическая опасность |