Основы Интернет - технологий.

На этой неделе системные администраторы и СМИ обвинили Fortinet в том, что компания больше недели скрывала информацию о критической уязвимости в API FortiManager. При этом пользователи писали, что хакеры уже используют уязвимость для атак и выполнения вредоносного кода на серверах. В итоге в компании признали существование проблемы.

Первые сообщения о некой критической уязвимости в FortiManager, который используется для управления трафиком и устройствами в сетях организаций, начали появляться в сети еще на прошлой неделе.

При этом некоторые администраторы писали, что получили электронные письма от компании с уведомлением о доступных обновлениях, а другие уверяли, что им ничего подобного не приходило. Третьи утверждали, что их организацию вообще взломали «за несколько недель до появления уведомлений». А разработчики при этом не публиковали никаких официальных заявлений, не раскрывали индикаторов CVE и в целом хранили молчание.

FortiJump

Как рассказал известный ИБ-эксперт Кевин Бомонт (Kevin Beaumont), об уязвимости стало известно как минимум 13 октября 2024 года, и проблема связана с конфигурацией FortiManager по умолчанию, которая позволяет зарегистрировать в панели управления FortiManager устройства с неизвестными или неавторизованными серийными номерами. Эксперт дал 0-day проблеме название FortiJump.

Пользователи на Reddit так же предупреждали, что это 0-day уязвимость, которая позволяет злоумышленникам «похитить сертификат Fortigate из любого Fortigate, зарегистрироваться в FortiManager и получить к нему доступ».

Исследователь заявил, что, судя по найденным им доказательствам, китайские «правительственные» хакеры эксплуатировали эту проблему с начала 2024 года для взлома внутренних сетей организаций.

По его словам, корень проблемы крылся в протоколе FortiGate to FortiManager (FGFM), который позволяет устройствам Fortigate взаимодействовать с менеджером через порт 541. Бомонт отмечал, что поисковик Shodan обнаруживает в интернете более 60 000 доступных подключений такого рода.

Только спустя еще несколько дней после появления этих сообщений и предупреждений представители Fortinet наконец опубликовали официальную информацию о проблеме FortiJump, которая получила идентификатор CVE-2024-47575 (9,8 балла по шкале CVSS). При этом в компании подтвердили, что уведомляли пользователей FortiManager о проблеме в частном порядке, начиная с 13 октября 2024 года.

По словам представителей Fortinet, с помощью FortiJump злоумышленники похищали различные файлы с серверов FortiManager, которые «содержали IP-адреса, учетные данные и конфигурации управляемых устройств».

В компании подчеркнули, что на данном этапе никаких доказательств установки вредоносного ПО в скомпрометированные сервисы FortiManager или изменения настроек FortiGate не обнаружено.

При этом в бюллетене компании не упоминается тот факт, что перед атакой злоумышленники сначала должны получить действительный сертификат для любых устройств Fortinet, включая FortiManager VM. Такие сертификаты используются создания SSL-туннеля между FortiGate и сервером FortiManager и аутентификации обоих устройств.

Согласно официальным данным, проблема затрагивает следующие версии FortiManager:

При этом пока из исправленных версий вышли только FortiManager 7.2.8 и 7.4.5, а остальные должны быть выпущены в ближайшие дни.

Как отмечает издание Bleeping Computer, по данным неназванного знакомого с проблемой источника, суть CVE-2024-47575 связана даже не с упомянутыми выше сертификатами, ведь API FortiManager FGFM имеет дополнительный уровень авторизации. Проблема в том, что FortiJump позволяет обойти эту аутентификацию в API. И этот API дает злоумышленникам возможность выполнять команды, похищать данные и захватывать полный контроль над управляемыми устройствами и FortiManager для дальнейшего развития атаки.

В связи с конфиденциальным характером вероятно украденных у пострадавших данных, представители Fortinet настоятельно рекомендовали администраторам изменить пароли и конфиденциальные данные пользователей, на всех управляемых устройствах.

При этом в компании не приводят никаких подробностей о возможном количестве атак и пострадавших клиентов, а также не связывают происходящее с каким-либо конкретными хак-группами, ссылаясь на то, что расследование еще продолжается.

Зато аналитики компании Mandiant уже сообщили, что, по их информации, проблема FortiJump использовалась злоумышленниками из хак-группы UNC5820 с июня 2024 года, и от действий хакеров пострадали более 50 серверов. Поскольку после этих атак хакеры не предпринимали никаких последующих действий, специалистам Mandiant не удалось определить их цели и возможное местонахождение.

Критика

Из-за неразберихи, образовавшейся вокруг раскрытия уязвимости, клиенты Fortinet, ИБ-специалисты и СМИ активно активно критикуют действия компании. Как уже упоминалось выше, некоторые пользователи FortiManager вообще не получали предварительных уведомлений об уязвимости и были вынуждены узнавать подробности о 0-day баге из обрывочных сведений, просочившихся в сеть.

Другие пользователи критикуют компанию за что, что приватном письме не сообщалось о том, что FortiManager Cloud тоже затронут проблемой CVE-2024-47575, однако по телефону специалисты технической поддержки Fortinet сообщали, что продукт тоже уязвим.

В целом критика в адрес компании сводится к тому, что Fortinet в очередной раз пытается полагаться на принцип «безопасность через неясность» (Security through obscurity), как уже неоднократно делала в прошлом.

К примеру, в 2022 году компания тихо исправила находящуюся под атаками уязвимость в FortiOS SSL-VPN (CVE-2022-42475), не сообщив публично, что та уже используется хакерам. Тогда компания точно так же выпустила приватное сообщение для клиентов, предупреждавшее об этой ошибке.

В другом случае, в 2023 году, разработчики Fortinet по-тихому устранили другую критическую уязвимость в FortiGate SSL-VPN (CVE-2023-27997), связанную с удаленным выполнением кода. И только несколько дней спустя, в компании признали, что это проблема использовалась как 0-day в атаках на правительственные учреждения, производственные предприятия и объекты КИИ.

Теперь многие вспоминают еще и о том, что в мае текущего года директор Fortinet по информационной безопасности Карл Виндзор (Carl Windsor), заявлял: