Il 23 ottobre Fortinet ha pubblicato l’avviso per la CVE-2024-47575, una vulnerabilità di gravità 9,8 in FortiManager, la console che gestisce centralmente i firewall FortiGate. I ricercatori l’hanno soprannominata FortiJump. Nei giorni precedenti l’azienda aveva già avvisato in privato alcuni clienti, perché la falla era sfruttata, mentre gli amministratori che non rientravano nell’elenco ne leggevano le prime voci sui social.
Il problema sta nel demone fgfmd, che gestisce il protocollo FGFM con cui i FortiGate parlano con FortiManager. Su una funzione critica manca un controllo di autenticazione: un attaccante può registrare un proprio dispositivo come se fosse un FortiGate e poi eseguire comandi su FortiManager senza credenziali. Sono coinvolte le versioni 6.2, 6.4, 7.0, 7.2, 7.4 e 7.6.0, oltre a FortiManager Cloud. Le versioni corrette sono la 7.6.1, la 7.4.5, la 7.2.8, la 7.0.13, la 6.4.15 e la 6.2.13, o successive.
Secondo le analisi pubblicate, un gruppo non ancora identificato sfrutta la falla almeno dal 27 giugno, su oltre 50 FortiManager di settori diversi. Ha sottratto i file con le configurazioni dei FortiGate gestiti, compresi indirizzi IP, utenti e password cifrate. Cosa ne abbia fatto finora non risulta.
Una console che conosce tutti i firewall
Qui sta il punto. Chi entra in FortiManager non trova un firewall, ma la mappa di tutti i firewall dell’organizzazione, con le loro regole e le loro credenziali. Per un attaccante paziente è il materiale ideale per preparare attacchi mirati ai firewall stessi e alle reti che proteggono, magari mesi dopo, quando l’allarme sarà passato.
Aggiorna a una versione corretta. Se non puoi farlo subito, applica le mitigazioni di Fortinet: impedisci la registrazione di dispositivi sconosciuti con set fgfm-deny-unknown enable e limita gli IP autorizzati a collegarsi alla porta FGFM, la TCP 541. Poi chiediti perché FortiManager dovrebbe essere raggiungibile da Internet: deve stare solo sulla rete di gestione.
Cerca nei log dispositivi registrati che non riconosci e file di configurazione archiviati di recente. Se trovi tracce, cambiare la password della console non basta: cambia password e chiavi di tutti i FortiGate gestiti e verifica che le loro configurazioni non siano state modificate.
