builderall


Fortinet ha revelado que los actores de amenazas han encontrado una manera de mantener el acceso de sólo lectura a los dispositivos FortiGate vulnerables, incluso después de que el vector de acceso inicial utilizado para violar los dispositivos fue parcheado.


Se cree que los atacantes han aprovechado fallos de seguridad conocidos y ya parcheados, entre los que se incluyen CVE-2022-42475, CVE-2023-27997 y CVE-2024-21762.


"Un actor de amenazas utilizó una vulnerabilidad conocida para implementar el acceso de sólo lectura a los dispositivos FortiGate vulnerables", dijo la compañía de seguridad de red en un aviso publicado el jueves. "Esto se logró mediante la creación de un enlace simbólico que conecta el sistema de archivos del usuario y el sistema de archivos raíz en una carpeta utilizada para servir archivos de idioma para el SSL-VPN".


Según Fortinet, las modificaciones tuvieron lugar en el sistema de archivos del usuario y lograron eludir la detección, haciendo que el enlace simbólico (también conocido como symlink) permaneciera incluso después de que se taparan los agujeros de seguridad responsables del acceso inicial.


Esto, a su vez, permitió a los actores de la amenaza mantener el acceso de sólo lectura a los archivos del sistema de archivos del dispositivo, incluidas las configuraciones. Sin embargo, los clientes que nunca han activado SSL-VPN no se ven afectados por el problema.


No está claro quién está detrás de la actividad, pero Fortinet dijo que su investigación indicó que no estaba dirigida a ninguna región o industria específica. También dijo que notificó directamente a los clientes que se vieron afectados por el problema.


Para evitar que estos problemas se repitan, se han lanzado una serie de actualizaciones de software de FortiOS:




Se aconseja a los clientes que actualicen sus instancias a las versiones 7.6.2, 7.4.7, 7.2.11, 7.0.17 o 6.4.16 de FortiOS, revisen las configuraciones de los dispositivos y traten todas las configuraciones como potencialmente comprometidas y lleven a cabo los pasos de recuperación adecuados.


La Agencia Estadounidense de Ciberseguridad y Seguridad de las Infraestructuras (CISA) ha emitido su propio aviso, instando a los usuarios a restablecer las credenciales expuestas y a considerar la desactivación de la funcionalidad SSL-VPN hasta que se puedan aplicar los parches. El Equipo de Respuesta a Emergencias Informáticas de Francia (CERT-FR), en un boletín similar, afirma que tiene constancia de casos que se remontan a principios de 2023.


En un comunicado compartido con The Hacker News, el CEO de watchTowr, Benjamin Harris, dijo que el incidente es preocupante por dos razones importantes.


"En primer lugar, en la explotación salvaje se está convirtiendo en significativamente más rápido que las organizaciones pueden parchear", dijo Harris. "Más importante aún, los atacantes son demostrable y profundamente conscientes de este hecho".


"En segundo lugar, y más aterrador, hemos visto, en numerosas ocasiones, que los atacantes despliegan capacidades y puertas traseras después de la explotación rápida diseñadas para sobrevivir a los procesos de parcheo, actualización y restablecimiento de fábrica en los que las organizaciones han llegado a confiar para mitigar estas situaciones para mantener la persistencia y el acceso a las organizaciones comprometidas."


Harris también dijo que se han identificado despliegues de puertas traseras en toda la base de clientes de watchTowr, y que están "viendo el impacto en organizaciones que muchos llamarían claramente infraestructuras críticas."


Fuente: thehackernews