Investigadores alertam para bug crítico em dispositivos FortiWeb

Investigadores de cibersegurança estão a alertar para exploração ativa e indiscriminada de uma vulnerabilidade de bypass de autenticação no WAF FortiWeb da Fortinet. Este bug crítico pode permitir que um atacante assuma o controlo de contas de administrador e comprometa completamente um dispositivo.

“A equipa da watchTowr está a observar uma exploração ativa e indiscriminada, em ambientes reais, do que parece ser uma vulnerabilidade corrigida silenciosamente no produto FortiWeb da Fortinet”, refere Benjamin Harris, CEO e fundador da watchTowr, em comunicado.

A vulnerabilidade, alegadamente corrigida na versão 8.0.2, permite que os atacantes executem ações como um utilizador privilegiado. A exploração em ambientes reais está focada, principalmente, na adição de um nova conta de administrador. Este mecanismo básico garante a persistência do acesso para os cibercriminosos.

A watchTowr afirmou ter conseguido reproduzir a vulnerabilidade com sucesso e criar uma prova de conceito (PoC) funcional. A empresa disponibilizou também uma ferramenta que gera artefactos para o bypass de autenticação, com o objetivo de ajudar na identificação de dispositivos vulneráveis nas suas redes.

A atividade de exploração foi detetada pela primeira vez no início de outubro. No entanto, a Fortinet não atribuiu um identificador CVE nem publicou um aviso no seu feed PSIRT.

Paralelamente, a Rapid7 observou que um suposto exploit zero-day direcionado ao FortiWeb foi colocado à venda num fórum de cibercriminosos no dia 6 de novembro, embora não seja claro se se trata do mesmo exploit em causa. A origem e a identidade do agente de ameaças por detrás dos ataques permanecem desconhecidas.

Enquanto se aguarda uma posição oficial da Fortinet, Benjamin Harris aconselhou os utilizadores a agirem rapidamente: “Os utilizadores e as empresas estão a enfrentar um processo já conhecido: procurar sinais triviais de comprometimento anterior, contactar a Fortinet para obter mais informações e aplicar as correções, caso ainda não o tenham feito”.

Recomenda-se que os utilizadores do FortiWeb verifiquem o firmware e atualizem para a versão 8.0.2 ou superior o mais rapidamente possível.