CVE-2020-12812

Fortinet FortiOS

ВЫСОКАЯ ВЕРОЯТНОСТЬ
Дата обнаружения

2021-11-03

Официальное описание

Fortinet FortiOS SSL VPN contains an improper authentication vulnerability that may allow a user to login successfully without being prompted for the second factor of authentication (FortiToken) if they change the case in their username.

🛡️
Технический анализ и план устранения

Суть уязвимости

Злоумышленник может обойти двухфакторную аутентификацию (FortiToken) в SSL VPN, изменив регистр символов в имени пользователя (например, User вместо user). Система некорректно проверяет учетные данные при таком изменении, что позволяет авторизоваться только по паролю.

Как исправить

Установите исправленную версию FortiOS, соответствующую вашей ветке:

  • FortiOS 6.0.x: Обновитесь до версии 6.0.10 или выше.
  • FortiOS 6.2.x: Обновитесь до версии 6.2.3 или выше.
  • FortiOS 6.4.x: Обновитесь до версии 6.4.0 или выше.

Процедура обновления: 1. Скачайте корректную исправленную прошивку с сайта поддержки Fortinet. 2. Загрузите файл на устройство: bash execute restore image tftp <имя_файла>.out <tftp_сервер_ip> 3. Установите загруженную прошивку в качестве следующей загрузочной: bash execute set-next-reboot image <имя_файла>.out 4. Перезагрузите устройство для применения обновления: bash execute reboot

Временное решение

Если немедленное обновление невозможно, примените следующие меры:

  1. Используйте локальную базу пользователей: Настройте политики SSL VPN на использование локальной базы пользователей FortiGate вместо внешних серверов аутентификации (RADIUS, LDAP), если в них есть проблема с регистронезависимостью.

  2. Ограничьте доступ: Ужесточите политики доступа к SSL VPN, разрешив подключение только с доверенных IP-адресов через списки доступа (адресные группы). ```bash config firewall address edit "Trusted_Network" set subnet 192.168.1.0 255.255.255.0 next end

    config vpn ssl web portal edit "full-access" set source-address "Trusted_Network" next end ``` 3. Мониторинг журналов: Включите детальное логирование событий аутентификации и отслеживайте неудачные и успешные попытки входа с нестандартным регистром имени пользователя.

Рекомендации сформированы автоматически на основе баз знаний (CISA/NVD/ФСТЭК) и технической документации вендора. Всегда тестируйте патчи в песочнице перед продакшном.
← Вернуться к списку уязвимостей