Fantasmi nel Firewall: Come gli Hacker Stanno Riesumando una Vulnerabilità di Cinque Anni in Fortinet

È l’equivalente informatico di trovare una porta aperta in un castello che si credeva inespugnabile: una vulnerabilità che si pensava ormai risolta, ora torna sotto i riflettori mentre gli hacker prendono di mira organizzazioni che non hanno ricevuto l’avviso. Fortinet, un attore di primo piano nella sicurezza di rete, lancia nuovamente l’allarme su una falla del 2020 nel suo sistema operativo di punta, FortiOS. La particolarità? Gli aggressori aggirano l’autenticazione a due fattori (2FA) non con exploit all’avanguardia, ma semplicemente cambiando la maiuscolatura di un nome utente.

Anatomia di una Falla Dimenticata

La vulnerabilità, catalogata come CVE-2020-12812, nasce da un’incoerenza tanto semplice quanto pericolosa. Mentre i firewall FortiGate trattano i nomi utente come case-sensitive per impostazione predefinita, le directory LDAP-spina dorsale dei sistemi di autenticazione di molte organizzazioni-non lo fanno. Questo significa che “jsmith” e “JSmith” sono uguali per LDAP, ma diversi per FortiGate.

Quando l’autenticazione a due fattori è abilitata e gli account utente sono gestiti sia tramite voci locali FortiGate che gruppi LDAP, un attaccante può accedere semplicemente modificando la maiuscolatura del nome utente. Il risultato: FortiOS salta il prompt della 2FA, concedendo l’accesso come se il secondo passaggio di autenticazione fosse stato completato. Questo trucco sottile è stato sfruttato da operatori ransomware e persino da hacker statali, che possono così superare i controlli di sicurezza senza far scattare allarmi.

Chi è a Rischio-e Perché?

Non tutti i clienti Fortinet sono esposti. L’attacco richiede una configurazione specifica: account utente locali con 2FA abilitata, collegati a gruppi LDAP che vengono richiamati nelle policy di autenticazione per accessi sensibili-come VPN o console amministrative. Se esiste un gruppo LDAP secondario mal configurato, il rischio aumenta. L’ultimo avviso di Fortinet è chiaro: se rientrate in questo profilo e non avete aggiornato dal 2020, i vostri sistemi potrebbero essere già compromessi.

Prevenzione e Risposta

La soluzione è semplice ma urgente. Fortinet ha corretto la falla nelle versioni FortiOS 6.0.10, 6.2.4 e 6.4.1-eppure molte organizzazioni sono ancora indietro con gli aggiornamenti. Disabilitare la sensibilità alle maiuscole nel confronto dei nomi utente e rimuovere i gruppi LDAP non necessari sono ulteriori passaggi consigliati. Se sospettate uno sfruttamento, Fortinet raccomanda un reset completo delle credenziali, inclusi gli account di binding LDAP/Active Directory.

Conclusione: Vecchi Bug, Nuove Violazioni

Questo episodio è un chiaro promemoria: nella cybersecurity, le vulnerabilità di ieri diventano le notizie di domani se ignorate. Mentre gli attori delle minacce riciclano falle dimenticate, il costo di trascurare patch e audit di configurazione cresce sempre di più. Per i difensori, la lezione è chiara-ciò che è vecchio non sparisce mai davvero, e anche la più piccola disattenzione può aprire le porte a una violazione importante.

WIKICROOK

• Due: L’autenticazione a due fattori (2FA) è un metodo di sicurezza che richiede due diversi tipi di identificazione per accedere a un account, rendendo più difficile l’hacking.
• LDAP (Lightweight Directory Access Protocol): LDAP è un protocollo per accedere e gestire servizi di directory, comunemente usato per l’autenticazione e la gestione centralizzata degli utenti nelle organizzazioni.
• FortiGate: FortiGate è la linea di appliance di sicurezza di Fortinet, che offre firewall, VPN e gestione unificata delle minacce per una protezione di rete aziendale robusta.
• Vulnerabilità (CVE): Una Vulnerabilità (CVE) è una falla di sicurezza pubblicamente elencata in software o hardware che gli aggressori possono sfruttare se non viene corretta.
• Ransomware: Il ransomware è un software malevolo che cripta o blocca i dati, chiedendo un riscatto alle vittime per ripristinare l’accesso ai loro file o sistemi.