Se proteggi la tua rete con un firewall FortiGate, controlla subito la versione del firmware. Il 6 ottobre Fortinet ha avvisato privatamente i clienti di una vulnerabilità critica, la CVE-2022-40684, e ha rilasciato le correzioni. Il 10 ottobre ha confermato di conoscere almeno un attacco reale. Il 13 alcuni ricercatori hanno pubblicato un exploit funzionante, e da allora i tentativi crescono di ora in ora.
È un bypass dell’autenticazione nell’interfaccia di amministrazione HTTP e HTTPS. Con intestazioni che fanno credere al dispositivo che la richiesta arrivi da un processo interno fidato, un attaccante può usare le API amministrative senza credenziali. Nell’exploit pubblico aggiunge la propria chiave SSH a un utente amministratore, e da quel momento entra quando vuole. Con il controllo del firewall può leggere e cambiare la configurazione, creare utenti, intercettare il traffico, aprire varchi verso la rete interna o usare la VPN come ingresso.
Sono coinvolti tre prodotti:
- FortiOS dalla 7.0.0 alla 7.0.6 e dalla 7.2.0 alla 7.2.1, da aggiornare alla 7.0.7 o alla 7.2.2;
- FortiProxy dalla 7.0.0 alla 7.0.6 e la 7.2.0, da aggiornare alla 7.0.7 o alla 7.2.1;
- FortiSwitchManager 7.0.0 e 7.2.0, da aggiornare alla 7.2.1.
Le versioni 6.x di FortiOS non sono vulnerabili. L’agenzia statunitense per la cybersicurezza ha inserito la falla nel catalogo delle vulnerabilità sfruttate attivamente.
Se non puoi aggiornare subito, disattiva l’amministrazione HTTP e HTTPS sulle interfacce esposte a Internet, o limitala a pochi IP fidati con una local-in policy. A dire il vero, l’interfaccia di gestione di un firewall non dovrebbe mai essere raggiungibile da Internet, patch o non patch.
Poi cerca nei log del dispositivo le voci con user="Local_Process_Access", che Fortinet indica come possibile segno di sfruttamento. Controlla gli utenti amministratori e le chiavi SSH configurate: se trovi qualcosa che non riconosci, considera il dispositivo compromesso, cambia tutte le credenziali e rivedi la configurazione, VPN comprese.
C’è un’ironia ricorrente in queste storie: i dispositivi che proteggono il perimetro sono diventati il modo preferito per attraversarlo. Proprio per questo vanno aggiornati per primi.
