CFCS: Intentos de explotación en FortiManager | DKCERT
El Centro de Seguridad Cibernética ha emitido una alerta sobre la vulnerabilidad de día 0 en FortiManager, sobre la que escribimos el 22 de octubre. El motivo de la notificación es que CFCS ha observado intentos de explotar la vulnerabilidad «en varios lugares» de la red de sensores.
Y esto da una razón más para una recomendación del CFCS de «actualizar las instancias vulnerables lo antes posible y examinarlas en busca de signos de compromiso».
A diferencia de hace unos días, a la vulnerabilidad ahora se le ha asignado un número de identificación, a saber, CVE-2024-47575, y una puntuación en la escala CVSS de 9,8. El motivo de la puntuación alta es que un actor que utiliza una instancia de FortiManager puede acceder a dispositivos FortiManager vulnerables que están expuestos a Internet sin tener derechos de usuario. Esto permite que se ejecute código malicioso en el dispositivo vulnerable, lo que puede otorgar acceso completo a la red.
Parece que la empresa de seguridad informática Mandiant lo ha visto explotado desde el 27 de junio de 2024, pero el parche llegó hace poco.
DKCERT recomienda, al igual que CFCS, que las instancias vulnerables se actualicen y que los dispositivos vulnerables se examinen en busca de signos de compromiso. CFCS añade en su aviso que, en caso de signos de compromiso, se recomienda restablecer y reconfigurar el dispositivo. Además, se debe restablecer la información de inicio de sesión de los dispositivos que han sido administrados por la instancia de FortiManager.
CFCS pide que «los indicadores, las conclusiones técnicas y otros conocimientos relevantes sobre el incidente se compartan en la medida de lo posible con el Centro de Seguridad Cibernética y el DCIS del sector».
Varios medios también han descrito el caso. Se puede encontrar orientación para manejar la vulnerabilidad en la fuente principal, el aviso de Fortiguard.
Campo de golf:
https://www.fortiguard.com/psirt/FG-IR-24-423
https://cloud.google.com/blog/topics/threat-intelligence/fortimanager-zero-day-exploitation-cve-2024-47575?e=48754805
https://www.bleepingcomputer.com/news/security/mandiant-says-new-fortinet-fortimanager-flaw-has-been-exploited-since-june/
https://www.darkreading.com/vulnerabilities-threats/critical-bug-exploited-fortinet-management-console
https://www.securityweek.com/new-fortinet-zero-day-exploited-for-months-before-patch-release/
https://www.bankinfosecurity.com/hackers-probing-newly-disclosed-fortinet-zero-day-a-26624
https://cyberscoop.com/fortinet-fortimanager-mandiant-unc5820-alert/
https://securityaffairs.com/170189/hacking/fortijump-flaw-exploited-since-june-2024.html