Mã khai thác bằng chứng về khái niệm (PoC) đã được cung cấp cho lỗ hổng bảo mật quan trọng được tiết lộ gần đây ảnh hưởng đến Fortinet FortiOS, FortiProxy và FortiSwitchManager, khiến người dùng bắt buộc phải nhanh chóng di chuyển để áp dụng các bản vá.
"FortiOS phơi bày một cổng thông tin web quản lý cho phép người dùng định cấu hình hệ thống", nhà nghiên cứu James Horseman của Horizon3.ai cho biết. "Ngoài ra, người dùng có thể SSH vào hệ thống để lộ giao diện CLI bị khóa."
Vấn đề, theo dõi như CVE-2022-40684 (điểm CVSS: 9.6), liên quan đến một lỗ hổng bỏ qua xác thực có thể cho phép kẻ tấn công từ xa để thực hiện các hoạt động độc hại trên giao diện quản trị thông qua đặc biệt crafted HTTP(S) yêu cầu.
Việc khai thác thành công thiếu sót tương đương với việc cấp quyền truy cập hoàn toàn "để làm bất cứ điều gì" trên hệ thống bị ảnh hưởng, bao gồm thay đổi cấu hình mạng, thêm người dùng độc hại và chặn lưu lượng mạng.
Điều đó nói rằng, công ty an ninh mạng nói rằng có hai điều kiện tiên quyết thiết yếu khi đưa ra yêu cầu như vậy -
- Sử dụng tiêu đề Forwarded, kẻ tấn công có thể đặt client_ip thành "127.0.0.1"
- Kiểm tra xác thực "quyền truy cập đáng tin cậy" xác minh rằng client_ip là "127.0.0.1" và Tác nhân người dùng là "Người chạy báo cáo" cả hai đều nằm dưới sự kiểm soát của kẻ tấn công
Việc phát hành PoC diễn ra khi Fortinet cảnh báo rằng họ đã biết về một trường hợp khai thác tích cực lỗ hổng trong tự nhiên, khiến Cơ quan An ninh Cơ sở hạ tầng và An ninh mạng Hoa Kỳ (CISA) đưa ra lời khuyên kêu gọi các cơ quan liên bang vá vấn đề trước ngày 1 tháng 11 năm 2022.
Công ty tình báo về mối đe dọa GreyNoise đã phát hiện 12 địa chỉ IP duy nhất vũ khí hóa CVE-2022-40684 tính đến ngày 13 tháng 10 năm 2022, với phần lớn trong số chúng nằm ở Đức, tiếp theo là Mỹ, Brazil, Trung Quốc và Pháp.
Công ty bảo mật WordPress WordFence cũng cho biết họ đã xác định các nỗ lực thăm dò từ 21 địa chỉ IP khác nhau để "xác định xem thiết bị Fortinet có được đặt hay không", đồng thời quan sát các yêu cầu HTTP khớp với PoC để thêm khóa SSH cho người dùng quản trị.