Fortinet heeft meer dan 50.000 klanten gewaarschuwd dat ze kwetsbare vpn-software draaien en risico lopen om te worden aangevallen. De organisaties in kwestie hebben al anderhalf jaar geen updates voor hun vpn-systeem geïnstalleerd.

Op 24 mei 2019 bracht Fortinet een beveiligingsupdate uit voor een kwetsbaarheid in de FortiOS SSL VPN webportal. Het beveiligingslek, aangeduid als CVE-2018-13379, is op een schaal van 1 tot en met 10 wat betreft de impact beoordeeld met een 9,8. Door middel van path traversal kan een ongeauthenticeerde aanvaller FortiOS-systeembestanden downloaden. Op deze manier kan een aanvaller de inloggegevens van ingelogde vpn-gebruikers bemachtigen. Exploits die misbruik van het beveiligingslek maken zijn al ruim een jaar beschikbaar.

In juli stelden de Amerikaanse en Britse autoriteiten nog dat Russische inlichtingendiensten het Fortinet-lek gebruikten om vaccinontwikkelaars aan te vallen. In oktober kwamen de FBI en het Cybersecurity and Infrastructure Security Agency (CISA) van het Amerikaansee ministerie van Homeland Security nog met een waarschuwing dat aanvallers het op kwetsbare Fortinet vpn-systemen hadden voorzien.

Ondanks alle aandacht voor de kwetsbaarheid en de beschikbaarheid van een beveiligingsupdate zijn er nog altijd meer dan 50.000 klanten van Fortinet die risico lopen. Aanleiding voor Fortinet om deze klanten direct te benaderen en te informeren. "Na achttien maanden, meer dan zeven verschillende Fortinet-notificaties en nieuwsdiensten en overheidsinstellingen die voor het risico waarschuwen zijn er nog steeds veel ongepatchte apparaten", aldus het bedrijf. Onlangs werd gemeld dat lijsten met de ip-adressen van deze apparaten op internet worden verhandeld.

Maatregelen

Naar aanleiding van de huidige situatie heeft Fortinet besloten om verschillende maatregelen door te voeren. Zo zal het voortaan elke eerste dinsdag van de maand met een patchdinsdag komen. In het geval van zeer ernstige of aangevallen kwetsbaarheden wordt hiervan afgeweken. Verder zullen ernstige kwetsbaarheden ook duidelijk in de grafische gebruikersinterface worden vermeld en zal het voor bepaalde firmware "long-time support" gaan bieden. Op deze manier hoopt het bedrijf dat klanten beschikbare beveiligingsupdates zullen installeren.