Vulnerabilidad de Día Cero en Dispositivos FortiGate de Fortinet.
Los dispositivos de firewall FortiGate de Fortinet están siendo atacados debido a una vulnerabilidad de día cero.
Los ciberdelincuentes están explotando las interfaces de administración expuestas en redes públicas, obteniendo acceso no autorizado y comprometiendo las configuraciones del firewall.
Esta falla de seguridad, identificada con el CVE-2024-55591, afecta a FortiOS y FortiProxy.
Su explotación exitosa permite a atacantes remotos obtener privilegios de superadministrador al realizar solicitudes maliciosas al módulo websocket de Node.js.
También se les ha observado:
Los dispositivos que ejecutan las versiones de firmware 7.0.14 a 7.0.16 (lanzadas entre febrero y octubre de 2024) están en riesgo.
|
Producto |
Versión Afectada |
Solución |
|
FortiSwitch 7.4 |
7.4.0 |
Actualización a 7.4.1 o superior |
|
FortiSwitch 7.2 |
De 7.2.0 a 7.2.5 |
Actualización a 7.2.6 o superior |
|
FortiSwitch 7.0 |
De 7.0.0 a 7.0.7 |
Actualización a 7.0.8 o superior |
|
FortiSwitch 6.4 |
De 6.4.0 a 6.4.13 |
Actualizar a la versión 6.4.14 o superior |
|
FortiSwitch 6.2 |
De 6.2.0 a 6.2.7 |
Actualización a la versión 6.2.8 o superior |
|
FortiSwitch 6.0 |
De 6.0.0 a 6.0.7 |
Migración a una versión fija |
El ataque implica un enfoque de múltiples fases observado entre noviembre y diciembre de 2024, que incluye:
Después de iniciar sesión a través de la vulnerabilidad, los registros mostrarán una IP de origen y una IP de destino aleatorias:
type="event" subtype="system" level="information" vd="root" logdesc="Admin login successful" sn="1733486785" user="admin" ui="jsconsole" method="jsconsole" srcip=1.1.1.1 dstip=1.1.1.1 action="login" status="success" reason="none" profile="super_admin" msg="Administrator admin logged in successfully from jsconsole"
Después de que los actores de amenazas creen un usuario administrador, se generará un registro con lo que parece ser un nombre de usuario generado aleatoriamente y una dirección IP de origen:
"type="event" subtype="system" level="information" vd="root" logdesc="Object attribute configured" user="admin" ui="jsconsole(127.0.0.1)" action="Add" cfgtid=1411317760 cfgpath="system.admin" cfgobj="vOcep" cfgattr="password[*]accprofile[super_admin]vdom[root]" msg="Add system.admin vOcep"
Las empresas de seguridad también advirtieron que los atacantes comúnmente usaban las siguientes direcciones IP en sus ataques:
1.1.1.1
127.0.0.1
2.2.2.2
8.8.8.8
8.8.4.4
Tras ser informado por Arctic Wolf, Fortinet afirma que los atacantes que explotan el día cero están creando usuarios administradores o locales generados aleatoriamente en dispositivos comprometidos y los están agregando a grupos de usuarios de VPN SSL existentes o a nuevos grupos creados por ellos.
Es crucial tomar medidas inmediatas para: