CVE-2024-55591: Bypass de autenticação no Fortinet FortiGate de dia zero

Uma vulnerabilidade crítica de desvio de autenticação no Fortinet FortiOS e FortiProxy permite que um invasor remoto não autenticado obtenha privilégios de superadministrador por meio de solicitações especialmente criadas ao módulo WebSocket do Node.js. CVSS 9.6. Explorado por agentes de ameaças desde novembro de 2024 antes da divulgação.

O que é CVE-2024-55591?

CVE-2024-55591 é uma vulnerabilidade de desvio de autenticação no sistema operacional FortiOS da Fortinet (que alimenta os firewalls FortiGate) e no gateway da web FortiProxy. A vulnerabilidade surge do tratamento inadequado de autenticação no módulo websocket baseado em Node.js da interface de gerenciamento.

Um invasor não autenticado que consegue acessar a interface de gerenciamento do FortiGate pode criar uma solicitação de websocket especialmente formatada que ignora totalmente a autenticação, concedendo-lhe acesso de superadministrador. Com acesso de superadministrador, os invasores podem modificar regras de firewall, criar novas contas de administrador, extrair credenciais de VPN e entrar em segmentos de rede protegidos.

Produtos afetados

Análise Técnica

A interface de gerenciamento FortiOS expõe uma UI web e API na porta 443 (e às vezes 8443). O módulo websocket Node.js que lida com certas funções de gerenciamento em tempo real contém uma verificação de autenticação que pode ser ignorada enviando solicitações com uma combinação de cabeçalho específica que o middleware de autenticação interpreta incorretamente como já validada.

# Proof-of-concept request structure (sanitized)
GET /api/v2/cmdb/system/admin HTTP/1.1
Host: fortigate.target.com
Upgrade: websocket
Connection: Upgrade
X-Forwarded-For: 127.0.0.1
[crafted auth bypass headers]

# Successful bypass returns full admin API access
HTTP/1.1 200 OK
{"results": [{"name":"admin","accprofile":"super_admin",...}]}

Atividade pós-exploração observada

As equipes de resposta a incidentes da Arctic Wolf e da Fortinet documentaram padrões pós-exploração consistentes:

• Criação de novas contas de administrador local (geralmente sequências aleatórias de 6-8 caracteres)
• Adição de portais SSL VPN controlados por invasores à interface de gerenciamento
• Modificação das configurações do túnel VPN para permitir o túnel dividido em redes corporativas
• Exportação de configurações de política de firewall para enumerar a topologia de rede interna
• Instalação de acesso persistente via configuração de inicialização modificada

Detecção

Revisão de registro do FortiGate

# Check for unexpected admin account creation
get system admin | grep -A5 "edit "

# Review recent login events for anomalies
execute log filter category 1
execute log filter field action login
execute log display

# Check for unauthorized VPN portal additions
show vpn ssl settings | grep -i "tunnel-mode\|host\|realm"

Indicadores de compromisso

• Contas de administrador com nomes aleatórios (por exemplo, Gujd, Trca)
• Novos portais VPN adicionados à configuração SSL VPN
• Alterações inesperadas na política de firewall nos registros
• Conexões WebSocket para /api/v2/ endpoints sem autenticação prévia

Mitigação

1. Corrija imediatamente: Atualize para FortiOS 7.0.17+, 7.2.11+ ou FortiProxy 7.0.20+, 7.2.13+
2. Desative o acesso de gerenciamento HTTP/HTTPS: Usar config system interface / set allowaccess ping ssh e remova https de interfaces voltadas para a Internet
3. Restrinja o acesso de gerenciamento por IP de origem: Use a configuração de host confiável para limitar o gerenciamento a IPs de administrador específicos
4. Auditoria de contas de administrador: Remova todas as contas inesperadas e rotacione todas as credenciais de administrador
5. Revise a configuração da VPN: Verifique se nenhum portal ou túnel não autorizado foi adicionado
6. Habilite o registro no SIEM: Garanta que todos os eventos de gerenciamento sejam encaminhados para registro centralizado

Capacidade de detecção KENSAI

• Detecção de exposição externa: KENSAI identifica interfaces de gerenciamento FortiGate voltadas para a Internet e sinaliza intervalos de versões vulneráveis ​​CVE-2024-55591
• Sonda de autenticação segura: O teste não destrutivo confirma o desvio de autenticação sem criar contas ou modificar configurações
• Inventário de ativos: Mapeamento abrangente de todos os dispositivos Fortinet na sua superfície de ataque
• Indicadores de compromisso: Detecção de IOC pós-exploração por meio de integração de análise de log
• Validação de correção: A nova verificação automatizada confirma a aplicação do patch e da interface de gerenciamento