Большой список почти 50 000 доступных в Интернете виртуальных частных сетевых систем Fortinet FortiGate, содержащих легко эксплуатируемую уязвимость, был опубликован в Интернете и социальных сетях.
Злоумышленники могут использовать уязвимость обхода пути для удаленной загрузки системных файлов FortiOS без необходимости аутентификации, если включена VPN-служба secure sockets layer (SSL).
Таким образом можно получить учетные данные вошедших в систему пользователей SSL VPN, предупредил Fortinet.
Об этом недостатке было сообщено Fortinet в декабре 2018 года, а тайваньские исследователи Meh Chang и Orange Tsai задокументировали его вместе с несколькими другими уязвимостями.
Fortinet выпустила исправленные версии своей операционной системы FortiOS, которые были доступны с мая прошлого года.
ITnews удалось найти список непатченных серверов с помощью службы индексации уязвимостей.
Также можно найти потенциально уязвимые системы с помощью поиска Google, так называемого dorking, который находит страницы входа Fortinet SSL VPN.
Список содержит несколько адресов интернет-протокола, которые, по-видимому, назначены австралийским зарегистрированным доменам.
