Investigadores desarrollan código de explotación para error crítico de VPN de Fortinet

Los investigadores han escrito un código de explotación para una vulnerabilidad crítica de ejecución remota de código (RCE) en las VPN FortiGate SSL de Fortinet, que el proveedor reveló y parchó en junio de 2023.

El equipo de investigación de Bishop Fox que desarrolló el exploit estima que hay alrededor de 340,000 dispositivos FortiGate afectados que actualmente no tienen parches contra la vulnerabilidad y siguen siendo vulnerables. Ese número es significativamente más alto que los 250,000 dispositivos FortiGate que varios investigadores de Fortinet estimaron que eran vulnerables a la explotación. revelado por primera vez el error el 12 de junio.

Código no publicado públicamente, pero hay un GIF

“Hay 490.000 afectados [FortiGate] «Las interfaces SSL VPN están expuestas en la web, y aproximadamente el 69% de ellas no están parcheadas actualmente», escribió Caleb Gross, director de desarrollo de capacidades de Bishop Fox, en una publicación de blog del 30 de junio. «Deberías remendar el tuyo ahora».

La vulnerabilidad de desbordamiento de búfer basada en montón rastreada como CVE-2023-27997 afecta a varias versiones del software SSL VPN FortiOS y FortiProxy. Le da a un atacante remoto no autenticado la capacidad de ejecutar código arbitrario en un dispositivo afectado y tomar el control completo del mismo. Los investigadores de la empresa francesa de ciberseguridad Lexfo que descubrieron la falla la calificaron como Impacto en cada VPN SSL Dispositivo que ejecuta FortiOS.

El obispo Fox no ha publicado públicamente su código de explotación. Pero su publicación de blog tiene un GIF en uso. Así describió Gross el exploit El obispo Fox ha evolucionado Esto brinda una oportunidad para que los atacantes abran un shell interactivo que pueden usar para comunicarse con un dispositivo FortiGate afectado.

«Este exploit sigue muy de cerca los pasos descritos en la publicación original del blog de Lexfo, aunque tuvimos que tomar algunos pasos adicionales que no se mencionan en esta publicación», escribió Gross. «El exploit se ejecuta en aproximadamente un segundo, lo que es significativamente más rápido que el video de demostración que muestra Lexfo en un dispositivo de 64 bits».

Fortinet ha lanzado actualizaciones de firmware que planteó el tema el 12 de junio. En ese momento, la compañía dijo que el error afectó a organizaciones gubernamentales, manufactureras y otros sectores de infraestructura crítica. Fortinet dijo que sabía que un atacante estaba explotando la vulnerabilidad en un número limitado de casos.

Fortinet advirtió que los actores de amenazas como los que están detrás de la campaña de espionaje cibernético Volt Typhoon podrían potencialmente abusar de CVE-2023-27997. Volt Typhoon es un grupo con sede en China que se cree que ha establecido un acceso persistente a las redes de empresas de telecomunicaciones de EE. UU. y otras organizaciones de infraestructura crítica para robar datos confidenciales y realizar otras acciones maliciosas. Hasta ahora, la campaña se ha aprovechado principalmente de otro error más antiguo de Fortinet (CVE-2022-40684) para el acceso inicial. Pero las organizaciones tampoco deberían descartar la posibilidad de que Volt Typhoon, y otros actores de amenazas, aprovechen CVE-2023-27997, advirtió Fortinet.

Por qué los dispositivos de seguridad son objetivos populares

CVE-2023-27997 es una de las muchas vulnerabilidades críticas de Fortinet que se han revelado. Como casi cualquier otro proveedor de firewall y VPN, los dispositivos Fortinet son un objetivo popular para los atacantes debido al acceso que brindan a las redes corporativas.

La Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) de EE. UU., la Agencia de Seguridad Nacional (NSA) y otros han emitido varias alertas en los últimos años con respecto a las organizaciones que descubren vulnerabilidades en estos y otros dispositivos de red debido al interés generalizado de los atacantes para solucionarlos rápidamente. .

En junio de 2022, por ejemplo CISA advirtió sobre actores de amenazas respaldados por China Nos enfocamos activamente en las vulnerabilidades sin parches en los dispositivos de red de múltiples proveedores. El aviso incluía una lista de las vulnerabilidades más comunes. La lista incluía vulnerabilidades en productos de Fortinet, Cisco, Citrix, Netgear, Pulse, QNAP y Zyxel.

Los administradores de sistemas deben parchear lo antes posible, aunque parchear el firmware en dispositivos que ejecutan puertas de enlace de aplicaciones puede ser un poco más engorroso, dice Timothy Morris, asesor jefe de seguridad de Tanium. Los dispositivos como los de Fortinet a menudo están en el borde y tienen requisitos de disponibilidad muy altos, lo que significa que tienen ventanas estrechas para el cambio.

«Para la mayoría de las empresas, es probable que algún tiempo de inactividad sea inevitable», dice Morris. Las vulnerabilidades como CVE-2023-27997 requieren que se vuelva a cargar la imagen de firmware completa, por lo que hay una sobrecarga de tiempo y riesgo, agrega. «Las configuraciones deben respaldarse y restaurarse para garantizar que funcionen como se espera».