Fortinet устраняет активно эксплуатируемые уязвимости обхода FortiCloud SSO на исправленных межсетевых экранах FortiGate

Fortinet подтверждает активную эксплуатацию уязвимости обхода аутентификации FortiCloud SSO

Компания Fortinet признала факты активной эксплуатации уязвимости обхода аутентификации, затрагивающей FortiCloud Single Sign-On (SSO) на полностью обновлённых межсетевых экранах FortiGate. По данным компании, атаки происходили в течение последних 24 часов, даже на устройствах с установленными последними версиями прошивки, что указывает на ранее неизвестную или не полностью устранённую уязвимость.

Технические детали

На данный момент Fortinet не опубликовала CVE-идентификатор или полный технический бюллетень, однако уязвимость, по всей видимости, позволяет злоумышленникам обходить механизмы аутентификации FortiCloud SSO. Это может привести к несанкционированному доступу к интерфейсам управления межсетевыми экранами или защищённым сетевым ресурсам без использования действительных учётных данных. Компания подтвердила, что проблема затрагивает межсетевые экраны FortiGate, работающие на последних версиях прошивки, что предполагает сценарий уязвимости нулевого дня (zero-day) или неполного исправления.

Анализ последствий

Успешная эксплуатация данной уязвимости несёт значительные риски, включая:

• Несанкционированный административный доступ к межсетевым экранам FortiGate;
• Латеральное перемещение в скомпрометированных сетях;
• Эксфильтрацию данных или развёртывание дополнительных вредоносных payload;
• Нарушение работы сетевых средств защиты.

Учитывая широкое распространение межсетевых экранов FortiGate в корпоративных и государственных средах, уязвимость может иметь серьёзные последствия для организаций, полагающихся на инфраструктуру безопасности Fortinet.

Рекомендации для ИБ-команд

Fortinet активно разрабатывает постоянное исправление. Временные меры защиты включают:

1. Мониторинг журналов межсетевого экрана на предмет необычных попыток аутентификации или несанкционированного доступа.
2. Включение многофакторной аутентификации (MFA), где это возможно, для снижения риска несанкционированного доступа.
3. Ограничение административного доступа доверенными IP-диапазонами или внутренними сетями.
4. Проверку и усиление сегментации сети для ограничения потенциального латерального перемещения.
5. Следить за обновлениями через официальные бюллетени безопасности Fortinet для получения информации о выпусках исправлений и рекомендаций по смягчению последствий.

Fortinet не раскрывает масштабы атак или данные об организациях, которые могли пострадать. Ожидается, что дополнительные сведения, включая присвоение CVE, будут опубликованы в ближайшие дни по мере продвижения расследования.