Fortinet reveló públicamente una vulnerabilidad crítica de la API FortiManager, identificada como CVE-2024-47575 (CVSS 9.0). Esta falla está siendo explotada en ataques Zero-Day para robar archivos confidenciales que contienen configuraciones, direcciones IP y credenciales de dispositivos administrados.
Advertencia privada a clientes
La compañía advirtió en privado a los clientes sobre la falla desde el 13 de octubre mediante correos electrónicos que contenían pasos para mitigarla hasta que se publicara una actualización de seguridad.
Filtración de información
Las noticias sobre la vulnerabilidad comenzaron a filtrarse en línea durante la semana por parte de clientes de Reddit y el investigador de ciberseguridad Kevin Beaumont de Mastodon, quien llamó a esta falla «FortiJump».
Explotación previa a las notificaciones
Los administradores de dispositivos Fortinet también compartieron que la falla ha sido explotada por un tiempo. Un informe indicó que un cliente fue atacado semanas antes de que se enviaran las notificaciones.
Vulnerabilidad técnica
La falta de autenticación en una función crítica (CWE-306) del demonio fgfmd de FortiManager permite que un atacante remoto no autenticado ejecute código o comandos arbitrarios a través de solicitudes especialmente diseñadas.
Impacto y versiones afectadas
La falla afecta a las versiones 7.6.0, 7.4.0 – 7.4.4, 7.2.0 – 7.2.7, 7.0.0 – 7.0.12, 6.4.0 – 6.4.14 y 6.2.0 a 6.2.12. La falla se solucionó en FortiManager 7.6.1, 7.4.5, 7.2.8, 7.0.13, 6.4.15 y 6.2.13 o posteriores.
Información filtrada y falta de transparencia
Los clientes de Fortinet han expresado frustración por cómo se reveló la vulnerabilidad, ya que algunos no recibieron el aviso previo y tuvieron que confiar en información filtrada. Además, se mencionó que el centro de asistencia técnica (TAC) de Fortinet indica que la falla también afecta a FortiManager Cloud, aunque esto no se comparte en el aviso.
Mejoras y mitigaciones
Fortinet ofrece varias formas de mitigar este ataque si no es posible instalar la última actualización de firmware:
- Utilizar el comando
set fgfm-deny-unknown enablepara evitar que dispositivos con números de serie desconocidos se registren en FortiManager. - Crear un certificado personalizado para usarlo al crear el túnel SSL y autenticar dispositivos FortiGate con FortiManager. Sin embargo, Fortinet advierte que si un actor de amenazas puede obtener este certificado, aún podría usarse para conectar dispositivos FortiGate y explotar la falla.
- Crear una lista permitida de direcciones IP para dispositivos FortiGate que pueden conectarse.
Explotación para robar datos
Fortinet confirma que los ataques observados se utilizaron para robar varios archivos del servidor FortiManager que contenían las IP, credenciales y configuraciones de los dispositivos administrados. Esta información robada puede usarse para conocer y apuntar a los dispositivos FortiGate para obtener acceso inicial a redes corporativas o clientes posteriores de MSP.
Indicadores de comportamiento (IOC)
Los ataques observados muestran que los actores de amenazas registran los dispositivos FortiGate controlados por los atacantes con el nombre «localhost». Las entradas del registro mostrarán que los actores de amenazas emitieron comandos API para agregar estos dispositivos «localhost» no registrados:
type=event,subtype=dvm,pri=information,desc="Device,manager,generic,information,log",
user="device,...",msg="Unregistered device localhost add succeeded" device="localhost"
adom="FortiManager" session_id=0 operation="Add device" performed_on="localhost"
changes="Unregistered device localhost add succeeded"type=event,subtype=dvm,pri=notice,desc="Device,Manager,dvm,log,at,notice,level",
user="System",userfrom="",msg="" adom="root" session_id=0 opera,on="Modify device" performed_on="localhost"
changes="Edited device settings (SN FMG-VMTM23017412)"Fortinet dice que se detectaron dispositivos FortiGate fraudulentos utilizando el número de serie FMG-VMTM23017412, que parece ser el formato utilizado por las máquinas virtuales FortiGate-VM.
Direcciones IP y frameworks utilizados
Los ataques se observaron con las siguientes direcciones IP, todas ubicadas en la empresa de alojamiento en la nube, Vultr:
- 45.32.41[.202
- 104.238.141[.143 (visto recientemente alojando infraestructura SuperShell C2)
- 158.247.199[.37
- 45.32.63[.2
- NOTA: no todos los IOC pueden estar presentes en los dispositivos explotados.
El framework SuperShell C2 se utilizó recientemente en ataques a F5 BIG-IP que se atribuyeron con moderada confianza a un actor de amenazas chino conocido como UNC5174.
Falta de transparencia
Algunos clientes han denunciado la falta de transparencia de Fortinet, recordando una publicación de Fortinet de octubre de 2023 que decía: «la comunidad de seguridad debe normalizar la transparencia y el intercambio de información para que las organizaciones avancen colectivamente en su lucha contra los adversarios».