Fortinet FortiOS 授权问题缝隙安全公告

颁布功夫 2019-05-30

缝隙编号和级别


CVE编号：CVE-2018-13382，危险级别：高级，CVSS分值：官方未评定

受影响的版本


FortiOS 6.0.0 to 6.0.4 
FortiOS 5.6.0 to 5.6.8 
FortiOS 5.4.1 to 5.4.10

仅在启用SSL VPN Web门户时。


缝隙概述


Fortinet FortiOS是美国飞塔（Fortinet）公司的一套专用于FortiGate网络安全平台上的安全操作系统。该系统为用户提供防火墙、防病毒、IPSec/SSLVPN、Web内容过滤和反垃圾邮件等多种安全职能。


Fortinet FortiOS的SSL VPN Web门户存在授权问题缝隙。该缝隙源于网络系统或产品中短缺身份验证措施或身份验证强度不及。


缝隙验证


暂无POC/EXP。


建复建议


目前厂商已颁布升级补丁以建复缝隙，请升级到FortiOS 5.4.11,5.6.9,6.0.5,6.2.0或以上版本，补丁获取链接：https://fortiguard.com/psirt/FG-IR-18-389 。


或者通过利用以下CLI号令禁用SSL-VPN Web门户服务：
config vpn ssl settings
unset source-interface

end


参考链接


https://fortiguard.com/psirt/FG-IR-18-389
http://www.cnnvd.org.cn/web/xxk/ldxqById.tag?CNNVD=CNNVD-201905-1025