网络安全设备商Fortinet上周通知部分用户更新产品软件，以修补影响防火墙及网页代理服务器（web proxy）的重大风险漏洞。
Fortinet上周并未通过主要的安全公告网站，而只以电子邮件通知特定用户编号CVE-2022-40684的漏洞，并被用户粘贴公开社群网站及客户支持论坛。Fortinet强调内容只供用户读取，内容极度机密。Fortinet说过几天才会公告给更多用户。
图片来源／Gitworm on Twitter
CVE-2022-40684为HTTP/HTTPS管理接口的验证绕过漏洞。由于这项漏洞可远程滥用，Fortinet强烈建议所有用户立即更新软件。Fortinet将最新漏洞风险值列为9.6 ，属于重大风险漏洞。
最新漏洞影响产品包括FortiOS 7.0.0到7.0.6，以及7.2.0到7.2.1，和FortiProxy 7.0.0到7.0.6，以及7.2.0。Fortinet建议用户升级到FortiOS 7.0.7或7.2.2版，以及FortiProxy 7.0.7及7.2.1以后版本解决。根据Fortinet文件，若安装7.2.2版，可同时解决FortiOS及FortiProxy问题。
如果用户无法及时更新，Fortinet提醒也应立即关闭面向HTTPS管理接口。用户可以通过防火墙规则功能关闭。
目前CVE-2022-40684是否已遭滥用不得而知。不过Fortinet软件经常成为黑客攻击对象，2020年及2021年美国等政府皆警告，有国家黑客滥用这家厂商的软件漏洞攻击企业及政府机关。
Fortinet在10月10日发布的PSIRT安全公告中，说明针对上述漏洞CVE-2022-40684的的更新修补发布，并表示已注意到已有成功利用此漏洞的情形，另外还有针对CVE-2022-26121、CVE-2021-44171、CVE-2022-29055、CVE-2022-35846、CVE-2022-33873、CVE-2022-35844漏洞的更新修补。文⊙iThome计算机报安全主编罗正汉
