Fortinet ha revelado que actores de amenazas han encontrado una forma de mantener el acceso de solo lectura a dispositivos FortiGate vulnerables, incluso después de que se aplicaran los parches correspondientes. La compañía informó sobre esta situación en un aviso publicado el jueves.
Uso de vulnerabilidades conocidas
Se cree que los atacantes aprovecharon vulnerabilidades de seguridad ya conocidas y parcheadas, entre ellas CVE-2022-42475, CVE-2023-27997 y CVE-2024-21762. La compañía indicó que los actores de amenazas utilizaron una vulnerabilidad conocida para implementar acceso de solo lectura a dispositivos FortiGate.
Acceso persistente mediante enlaces simbólicos
El acceso se logró mediante la creación de un enlace simbólico que conectaba el sistema de archivos del usuario con el sistema de archivos raíz en una carpeta utilizada para servir archivos de idioma para SSL-VPN. Esta modificación se realizó en el sistema de archivos del usuario y permitió evadir la detección, lo que provocó que el enlace simbólico permaneciera incluso después de que se solucionaran las vulnerabilidades responsables del acceso inicial.
Impacto limitado a dispositivos con SSL-VPN habilitada
Los atacantes lograron mantener acceso de solo lectura a los archivos del sistema de archivos del dispositivo, incluidas las configuraciones. Sin embargo, los clientes que nunca han habilitado SSL-VPN no se ven afectados por el problema.
Actualizaciones para mitigar la amenaza
Fortinet implementó una serie de actualizaciones de software para FortiOS:
- FortiOS 7.4, 7.2, 7.0, 6.4: El enlace simbólico se marcó como malicioso, por lo que el motor antivirus lo eliminó automáticamente.
- FortiOS 7.6.2, 7.4.7, 7.2.11, 7.0.17 y 6.4.16: Se eliminó el enlace simbólico y se modificó la interfaz de usuario de SSL-VPN para evitar la publicación de estos enlaces simbólicos maliciosos.
Se recomienda a los clientes que actualicen sus instancias a las versiones 7.6.2, 7.4.7, 7.2.11, 7.0.17 o 6.4.16 de FortiOS, revisen las configuraciones de los dispositivos y consideren potencialmente comprometidas las mismas, realizando las acciones de recuperación adecuadas.
Detectedos más de 16.620 dispositivos expuestos
Se han detectado más de 16.620 dispositivos Fortinet expuestos a internet comprometidos con esta nueva puerta trasera de enlace simbólico que permite acceso de solo lectura a archivos confidenciales en dispositivos previamente comprometidos.
Alertas de CISA y CERT-FR
CISA ha emitido un aviso propio instando a los usuarios a restablecer las credenciales expuestas y considerar la desactivación de la funcionalidad SSL-VPN hasta que se puedan aplicar los parches. El Equipo de Respuesta a Emergencias Informáticas de Francia (CERT-FR) afirmó tener conocimiento de vulnerabilidades que se remontan a principios de 2023.
El material fue publicado por THN.