Fortinet cảnh báo lỗ hổng cũ FortiOS bị khai thác trở lại, rủi ro 2FA bị bỏ qua

[WhiteHat Team]

Fortinet vừa cảnh báo rằng một lỗ hổng đã tồn tại 5 năm trong FortiOS, được theo dõi với mã CVE-2020-12812, đang bị khai thác trở lại. Lỗ hổng này cho phép tin tặc bỏ qua cơ chế xác thực hai yếu tố trong những cấu hình nhất định. Các tổ chức cần kiểm tra hệ thống và cập nhật bản vá để hạn chế rủi ro.
​

Lỗ hổng CVE-2020-12812 vốn được Fortinet công bố từ năm 2020, xuất phát từ sự khác biệt trong cách FortiGate và LDAP Directory xử lý xác thực người dùng. Trong khi FortiGate mặc định phân biệt chữ hoa chữ thường trong tên đăng nhập, LDAP Directory lại không, tạo ra kẽ hở cho phép hệ thống bỏ qua yêu cầu nhập token 2FA trong một số trường hợp.

Vấn đề xuất hiện khi xác thực hai yếu tố được bật trong cài đặt “user local”, nhưng người dùng lại được xác thực qua phương thức từ xa. Lỗ hổng này từng bị khai thác trong các cuộc tấn công trước đây và hiện đang tiếp tục bị lợi dụng, nhưng chỉ với những cấu hình cụ thể.

Để kích hoạt CVE-2020-12812, hệ thống phải tồn tại một cấu hình cụ thể. Theo Fortinet, các tài khoản người dùng cục bộ trên FortiGate cần được bật xác thực hai yếu tố và liên kết với LDAP, đồng thời những người dùng này phải là thành viên của ít nhất một nhóm trên máy chủ LDAP, chẳng hạn như Domain Users hoặc Helpdesk. Ít nhất một trong các nhóm LDAP đó cũng phải được cấu hình trên FortiGate và được sử dụng trong chính sách xác thực, bao gồm các trường hợp như tài khoản quản trị hoặc truy cập VPN SSL và IPSEC. Khi hội đủ các điều kiện này, kẻ tấn công có thể thay đổi chữ hoa chữ thường trong tên người dùng hợp lệ, khiến hệ thống không yêu cầu token xác thực hai yếu tố. Fortinet khuyến nghị nếu phát hiện dấu hiệu khai thác, toàn bộ hệ thống nên được coi là đã bị xâm nhập và tất cả thông tin xác thực cần được reset để bảo đảm an toàn.

Các bản vá cho CVE-2020-12812 đã được phát hành trong FortiOS phiên bản 6.0.10, 6.2.4 và 6.4.1. Fortinet lưu ý rằng vô hiệu hóa cơ chế phân biệt chữ hoa chữ thường sẽ giúp FortiGate nhận dạng tất cả biến thể của tên người dùng giống nhau, hạn chế nguy cơ failover sang nhóm LDAP bị cấu hình sai. Đồng thời, các tổ chức nên loại bỏ các nhóm LDAP phụ không cần thiết vì chúng có thể khiến lỗ hổng bị kích hoạt khi xác thực LDAP cục bộ thất bại.
​

Theo Security Week​