美国联邦调查局(FBI)和网络安全与基础设施安全局(Cybersecurity and Infrastructure Security Agency)表示，高级黑客可能会利用Fortinet FortiOS VPN的关键漏洞，试图建立一个滩头堡，以便在以后的攻击中攻破大中型企业。

这两家机构周五在一份联合咨询报告中表示:“APT行为体可能会利用这些漏洞或其他常见的利用技术，初步获得多个政府、商业和技术服务的权限。”“获得初步的接触权，为APT分子在未来发动袭击做好了准备。APT是advanced persistent threat(高级持续性威胁)的缩写，用来描述组织严密、资金充足的黑客组织，其中许多是由国家支持的。

违反了尘埃

Fortinet FortiOS SSL vpn主要用于边界防火墙，这些防火墙将敏感的内部网络与公共互联网隔离开来。在建议中列出的三个已经修补过的漏洞中，有两个——cve -2018-13379和cve -2020-12812——特别严重，因为它们使未经身份验证的黑客有可能窃取凭证，并连接到尚未更新的vpn。

“如果VPN的凭证也与其他内部服务共享(例如如果他们活动目录、LDAP、或类似的单点登录凭证)然后立即攻击者获得访问这些服务的特权用户的凭证是偷来的,”James Renken说一个网站网络安全可靠性工程师研究小组。Renken是发现第三个FortiOS漏洞- cve -2019-5591 -的两个人之一，周五的公告称，该漏洞也可能被利用。“然后攻击者可以探索网络，沐鸣开户测速试图利用各种内部服务，等等。”

最严重的安全漏洞之一——cve -2018-13379被安全公司Devcore的研究人员Orange Tsai和Meh Chang发现并披露。研究人员在2019年黑帽安全会议上的演讲幻灯片将其描述为提供“预认证任意文件读取”，这意味着它允许开发者读取密码数据库或其他感兴趣的文件。

与此同时，安全公司Tenable表示，CVE-2020-12812可以让开发者绕过双因素认证，成功登录。

在一份电子邮件声明中，福蒂内说:

客户的安全是我们的第一要务。CVE-2018-13379是2019年5月解决的一个老漏洞。在2019年8月和2020年7月的多个场合，Fortinet立即发布了PSIRT咨询，并通过企业博客文章直接与客户沟通，强烈建议升级。直到2020年，我们一直在与客户进行沟通。CVE-2019-5591于2019年7月解决，CVE-2020-12812于2020年7月解决。获取更多信息，请访问我们的博客并立即查阅2019年5月的公告。如果客户没有这样做，我们敦促他们立即实施升级和缓解措施。

FBI和CISA没有提供联合咨询中提到的APT的细节。这份报告还模糊地指出，沐鸣开户测速威胁行为者“可能”正在积极利用这些漏洞。

修补漏洞需要IT管理员更改配置，除非组织使用的网络中有多个VPN设备，否则会出现停机。虽然在需要全天候提供vpn的环境中，这些障碍通常很困难，但被勒索软件或间谍活动侵入的风险要大得多。