Nov 30, 2022 Marina Londei Hacking, News, Vulnerabilità 0

I ricercatori di sicurezza di Cyble hanno scoperto la compravendita di migliaia di accessi a reti aziendali tramite la VPN Fortinet. Gli attaccanti che hanno messo in vendita gli accessi hanno sfruttato una vulnerabilità zero-day della VPN identificata come CVE-2022-40684. La falla era stata individuata a metà ottobre e il numero di dispositivi sprovvisti di patch è ancora molto alto.

La vulnerabilità riguarda FortiGate firewall e i web proxy FortyProxy. Gli attaccanti sfruttano la falla per loggarsi nei device vulnerabili ed eseguire operazioni usando richieste HTTP e HTTPS costruite ad hoc. La vulnerabilità impatta le versioni dalla 7.0.0 alla 7.0.6. e dalla 7.2.0 alla 7.2.1 di FortiOS; per quanto riguarda FortiProxy, le versioni vulnerabili sono quelle dalla 7.0.0 alla 7.0.6 e la 7.2.0.

Al momento Cyble ha individuato più di 100.000 firewall FortiGate accessibili dalla rete e messi in vendita dagli attaccanti. Gli hacker, una volta ottenuto il controllo del dispositivo, possono eseguire una serie di operazioni malevole tra le quali: modificare le chiavi SSH degli admin, aggiungere nuovi utenti, modificare le configurazioni di rete per il rerouting del traffico, ottenere la configurazione di sistema e altre informazioni sensibili.

I ricercatori di Cyble hanno pubblicato un’analisi della minaccia spiegando che gli attaccanti sono attivi per lo più in forum russi e colpiscono organizzazioni in Germania e Stati Uniti. 

“La vulnerabilità degli accessi nei prodotti Fortinet permette a un attaccante non autenticato di eseguire operazioni sull’interfaccia amministrativa. Visto il grande numero di risorse private e pubbliche esposte in rete, la vulnerabilità è considerata critica” ha spiegato il team di sicurezza nel post.

Il consiglio di Fortinet è di aggiornare i prodotti vulnerabili con le ultime patch rilasciate e posizionare le risorse più critiche dietro firewall configurati e aggiornati.