Aktywnie wykorzystywana w atakach
Fortinet FortiOS SSL VPN Improper Authentication Vulnerability
Fortinet - FortiOS · Figuruje w katalogu CISA KEV od 2021-11-03. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply updates per vendor instructions.
CVE-2020-12812
KrytyczneCVSS 9.8KEVPrawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 99 - wyżej niż 99% wszystkich znanych CVE
Streszczenie
Podatność na nieprawidłowe uwierzytelnianie w SSL VPN w FortiOS 6.4.0, 6.2.0 do 6.2.3, 6.0.9 i starszych może pozwolić użytkownikowi na zalogowanie się bez podania drugiego czynnika uwierzytelniania (FortiToken), jeśli zmienił wielkość liter w swojej nazwie użytkownika.
Ocena ryzyka
Użytkownik może ominąć drugi czynnik uwierzytelniania, co zwiększa ryzyko nieautoryzowanego dostępu do sieci VPN i zasobów firmowych.
Rekomendacja
Zaktualizuj FortiOS do wersji, która zawiera poprawkę, i rozważ wymuszenie uwierzytelniania wieloskładnikowego.
Oryginalny opis (angielski, źródło NVD)
An improper authentication vulnerability in SSL VPN in FortiOS 6.4.0, 6.2.0 to 6.2.3, 6.0.9 and below may result in a user being able to log in successfully without being prompted for the second factor of authentication (FortiToken) if they changed the case of their username.