Netwerkbedrijf Fortinet waarschuwt organisaties om een kritieke kwetsbaarheid in FortiOS en FortiProxy direct te patchen Via het beveiligingslek, aangeduid als CVE-2022-40684, kan een ongeauthenticeerde aanvaller toegang tot de beheerdersinterface krijgen en daar allerlei acties uitvoeren. FortiOS is het besturingssysteem van Fortinet dat op allerlei netwerkapparaten draait, zoals firewalls en switches.

Vanwege het feit dat een aanvaller op afstand misbruik van het lek kan maken en er geen inloggegevens zijn vereist verzoekt Fortinet om de beschikbaar gemaakte beveiligingsupdates meteen te installeren. Fortinet heeft nog niet veel details over de kwetsbaarheid vrijgegeven. Zo wordt het CVE-nummer genoemd in de release notes van FortiOS 7.2.2, maar zonder verdere informatie (pdf). Lezers van Reddit ontdekten de kwetsbaarheid in het overzicht. Voor gebruikers met een FortiCloud-account is er wel een bulletin gepubliceerd met meer details.

De kwetsbaarheid is aanwezig in FortiOS van 7.0.0 tot en met 7.0.6 en van 7.2.0 tot en met 7.2.1. FortiProxy versies 7.0.0 tot en met 7.0.6 en 7.2.0 zijn ook kwetsbaar. Gebruikers van FortiGate kunnen upgraden naar FortiOS versie 7.0.7 of 7.2.2. Voor FortiProxy zijn versies 7.0.7 en 7.2.1 beschikbaar.