Un equipo de investigación ha identificado una vulnerabilidad crítica en los firewalls FortiGate, que puede permitir la ejecución remota de código. La vulnerabilidad, conocida como CVE-2023-27997 y denominada también XORtigate, se encuentra en el sistema operativo FortiOS, utilizado por estos dispositivos. El exploit desarrollado por Bishop Fox demuestra cómo un atacante puede aprovechar esta brecha para acceder a una shell interactiva.
Impacto de la vulnerabilidad
Según el material publicado, hay aproximadamente 490.000 interfaces VPN SSL afectadas expuestas en Internet. De estas, alrededor del 69% no está actualmente parcheada. La vulnerabilidad permite una ejecución remota de código, lo que podría permitir a un atacante tomar control sobre el dispositivo.
Detalles del exploit
Bishop Fox desarrolló un exploit para CVE-2023-27997. En la captura de pantalla se muestra cómo el atacante se conecta a un servidor controlado por él, descarga un binario BusyBox y abre una shell interactiva. Este exploit sigue los pasos detallados en la publicación del blog de Lexfo.
Buscando dispositivos vulnerables
Varios artículos han sugerido que una búsqueda en Shodan revela 250.000 firewalls FortiGate expuestos en Internet. Sin embargo, la consulta ssl.cert.subject.cn:FortiGate no filtra específicamente las interfaces SSL VPN, donde se encuentra esta vulnerabilidad.
Para obtener mejores resultados, se recomienda buscar servidores que devuelvan el encabezado de respuesta HTTP Server: xxxxxxxx-xxxxx, y luego filtrar aquellos que redirijan a /remote/login. Esta consulta devuelve casi 490.000 interfaces SSL VPN expuestas, aproximadamente el doble de la cantidad obtenida mediante la búsqueda por certificado SSL.
Identificando dispositivos parcheados
Al inspeccionar las imágenes de software publicadas por Fortinet, se sabe que las versiones parcheadas de FortiOS se empaquetaron entre mayo y junio de 2023. Buscando en Shodan esos dos meses en el encabezado de respuesta HTTP de última modificación, es posible identificar dispositivos parcheados.
Según los datos disponibles, solo se parchearon 153.414 dispositivos en Internet, lo que deja aproximadamente 335.923 de 489.337 sin parchear, es decir, el 69%.