0 
0 As preocupações com uma vulnerabilidade crítica de desvio de autenticação em certos dispositivos Fortinet aumentaram esta semana com o lançamento do código de exploração de prova de conceito (PoC) e um grande aumento nas verificações de vulnerabilidade para a falha.
O bug (CVE-2022-40684) está presente em várias versões das tecnologias FortiOS, FortiProxy e FortiSwitchManager da Fortinet. Ele permite que um invasor não autenticado obtenha acesso administrativo aos produtos afetados por meio de solicitações HTTPS e HTTP especialmente criadas e potencialmente use isso como ponto de entrada para o restante da rede.
Bharat Jogi, diretor de pesquisa de ameaças de vulnerabilidade da Qualys, diz que pesquisadores da empresa observaram varreduras em massa sendo realizadas por vários atores de ameaças para identificar sistemas vulneráveis à Internet para comprometimento.
“Eles estão comprometendo esses sistemas para criar um usuário super_admin que fornece acesso e controle completos”, diz Jogi. “Uma vez que esse nível de acesso é alcançado, eles têm a capacidade de excluir qualquer vestígio de sua tentativa de exploração bem-sucedida, dificultando o rastreamento de ativos comprometidos em seu ambiente”.
Se essa falha for explorada com sucesso, um invasor terá acesso completo aos sistemas internos da organização que antes eram protegidos pelos firewalls da Fortinet, diz ele. “Ter um firewall comprometido é como colocar um tapete vermelho para que os agentes de ameaças entrem no ambiente da sua organização”, observa Jogi.
Adicionado ao Catálogo de Vulnerabilidades Exploradas Conhecidas da CISA
A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) no início desta semana adicionou a vulnerabilidade ao seu catálogo de Vulnerabilidades Exploradas Conhecidas. As agências do poder executivo federal – que são obrigadas a corrigir vulnerabilidades no catálogo dentro de prazos específicos – têm até 1º de novembro para resolver isso. Embora o prazo se aplique apenas a agências federais, especialistas em segurança observaram anteriormente como é uma boa ideia que todas as organizações monitorem as vulnerabilidades no catálogo e sigam o prazo da CISA para implementar correções.
A Fortinet notificou em particular os clientes dos produtos afetados sobre a vulnerabilidade na sexta-feira passada, juntamente com instruções para atualizar imediatamente para versões corrigidas da tecnologia que a empresa havia acabado de lançar. Ele aconselhou as empresas que não puderam atualizar por qualquer motivo a desativar imediatamente a administração HTTPS voltada para a Internet até que pudessem atualizar para as versões corrigidas.
“Devido à capacidade de explorar esse problema remotamente, a Fortinet recomenda fortemente que todos os clientes com as versões vulneráveis façam uma atualização imediata”, disse a Fortinet em sua notificação privada, cuja cópia foi postada no Twitter no mesmo dia.
A Fortinet seguiu com um aviso público de vulnerabilidade na segunda-feira descrevendo a falha e alertando os clientes sobre possíveis atividades de exploração. A empresa disse estar ciente de casos em que os invasores exploraram a vulnerabilidade para baixar o arquivo de configuração dos sistemas afetados e adicionar uma conta super_admin maliciosa chamada “fortigate-tech-support”.
Desde então, o teste de penetração do Horizon3.ai lançou um código de prova de conceito para explorar a vulnerabilidade, juntamente com um mergulho técnico profundo da falha. Um modelo para verificação da vulnerabilidade também está disponível no GitHub.
Exacerbando as preocupações é a barra relativamente baixa para explorar a falha. “Esta vulnerabilidade é extremamente fácil para um invasor explorar. Tudo o que é necessário é o acesso à interface de gerenciamento em um sistema vulnerável”, disse Zach Hanley, engenheiro-chefe de ataque da Horizon3.ai, ao Dark Reading
Aumento na atividade de varredura para a falha
A Qualys não é a única empresa que observa o aumento da verificação de vulnerabilidades para a falha. James Horseman, desenvolvedor de exploits da Horizon3.ai, diz que os dados públicos do GreyNoise – que rastreiam a atividade de varredura na Internet que atinge as ferramentas de segurança – mostram que o número de IPs únicos usando o exploit cresceu de um dígito há alguns dias para mais de quarenta em outubro 14.
“Esperamos que o número de IPs únicos usando essa exploração aumente rapidamente nos próximos dias”, diz Horseman. Não é difícil para os invasores encontrarem sistemas vulneráveis, acrescenta: Uma pesquisa Shodan, por exemplo, mostra mais de 100.000 sistemas Fortinet em todo o mundo.
“Nem todos eles serão vulneráveis, mas uma grande porcentagem será”, diz Horseman.
Johannes Ullrich, reitor de pesquisa do SANS Institute, diz que observou varreduras associadas a uma vulnerabilidade mais antiga do FortiGate ( CVE-2018-13379 ), atingindo os honeypots do SANS nos dias seguintes à divulgação do novo bug. Ele diz que há duas teorias para que isso possa estar acontecendo.
Uma delas é que um invasor pode ter tentado capturar o maior número possível de dispositivos que ainda não haviam sido corrigidos para a vulnerabilidade antiga. Dada a atenção que a nova vulnerabilidade recebeu, é provável que a antiga vulnerabilidade também seja corrigida agora, diz ele.
“Ou o invasor estava tentando encontrar dispositivos Fortinet para explorar usando a nova vulnerabilidade assim que ela estiver disponível”, ele teoriza. “O antigo scanner de vulnerabilidade que eles tinham na prateleira ainda pode funcionar para identificar dispositivos Fortinet.”
Um alvo de atacante popular
As preocupações com vulnerabilidades nos produtos Fortinet não são novas. As tecnologias da empresa — e de outras empresas que vendem aparelhos semelhantes — têm sido frequentemente alvo de invasores que tentam obter uma posição inicial na rede de destino.
Novembro passado. O FBI, a CISA e outros emitiram um aviso sobre os agentes de ameaças persistentes avançadas iranianas que exploram vulnerabilidades nos produtos Fortinet e Microsoft. Um alerta semelhante em abril de 2021 alertou sobre invasores explorando falhas no FortiOS para invadir vários serviços governamentais, comerciais e de tecnologia .
“Esses dispositivos vulneráveis geralmente são dispositivos de borda, portanto, um invasor pode usar essa vulnerabilidade para obter acesso às redes internas de uma organização para lançar novos ataques”, diz Hanley.
A própria Fortinet recomendou que as organizações que puderem atualizar para as versões recentemente corrigidas do FortiOS, FortiProxy e FortiSwitch Manager. Para organizações que não podem atualizar imediatamente, a Fortinet forneceu orientações sobre como desabilitar a interface HTTP/HTTPS ou limitar os endereços IP que podem acessar a interface administrativa dos produtos afetados.
Hanley diz que as organizações às vezes podem não conseguir corrigir devido ao potencial tempo de inatividade associado à atualização de um dispositivo. “No entanto, uma organização deve ser capaz de aplicar [a] solução alternativa para impedir que essa vulnerabilidade seja explorada em máquinas sem patches, seguindo as orientações da Fortinet.”
Jogi, da Qualys, acrescenta: “Também é crucial revisar quaisquer tentativas de exploração para identificar sistemas que já possam ter sido comprometidos. Se uma organização não conseguir corrigir seus sistemas, ela deve desabilitar a interface de administração do sistema imediatamente”.
FONTE: DARK READING