Fortinet advierte sobre vulnerabilidad de día cero que ataca firewalls con interfaces expuestas
La empresa de ciberseguridad Fortinet ha dado la voz de alarma sobre una campaña activa de vulnerabilidades de día cero dirigidas a dispositivos de firewall FortiGate con interfaces de gestión expuestas. Estos ataques, atribuidos a actores de amenazas desconocidos, han afectado a organizaciones de todo el mundo y han puesto de relieve la importancia fundamental de proteger la infraestructura expuesta.
Table of Contents
Detalles de la campaña: cómo se desarrollaron los ataques
La actividad maliciosa, que comenzó a mediados de noviembre de 2024, aprovecha un vector de acceso inicial aún no determinado para comprometer las interfaces de gestión del firewall. Los investigadores de ciberseguridad de Arctic Wolf creen que los atacantes explotaron una vulnerabilidad de día cero, dada la rápida propagación y las versiones de firmware afectadas. Los dispositivos que ejecutaban versiones de firmware entre 7.0.14 y 7.0.16 fueron el objetivo específico.
Los atacantes siguieron una estrategia calculada de cuatro fases:
- Reconocimiento y escaneo : identificación de dispositivos vulnerables mediante herramientas automatizadas e IP inusuales.
- Manipulación de la configuración : cambiar la configuración de salida para facilitar la recopilación de inteligencia.
- Escalada de privilegios : creación de cuentas de superadministrador y modificación de cuentas de usuario existentes.
- Explotación y recolección de credenciales : establecimiento de túneles VPN SSL y extracción de credenciales mediante la técnica DCSync para movimiento lateral.
El uso de la interfaz jsconsole por parte de atacantes y túneles VPN de proveedores de alojamiento de servidores privados virtuales (VPS) fueron indicadores consistentes de compromiso.
Fortinet confirma vulnerabilidad crítica
El 14 de enero de 2025, Fortinet reveló detalles de CVE-2024-55591, una vulnerabilidad crítica de omisión de autenticación que afecta a FortiOS y FortiProxy. Con una puntuación CVSS de 9,6, esta falla permite a los atacantes obtener privilegios de superadministrador mediante la explotación del módulo WebSocket de Node.js.
Versiones impactadas
- FortiOS : 7.0.0 a 7.0.16 (parcheado en 7.0.17 y posteriores)
- FortiProxy : 7.0.0 a 7.0.19 y 7.2.0 a 7.2.12 (parcheados en 7.0.20 y 7.2.13, respectivamente)
Fortinet recomendó a los clientes que apliquen las actualizaciones de inmediato y que estén atentos a cualquier actividad sospechosa. Se insta a las organizaciones a limitar la exposición de la interfaz de administración y restringir el acceso solo a usuarios de confianza.
Acción de la CISA: un impulso a la mitigación
La Agencia de Seguridad de Infraestructura y Ciberseguridad de Estados Unidos (CISA) ha añadido CVE-2024-55591 a su catálogo de vulnerabilidades explotadas conocidas (KEV). Las agencias federales deben abordar esta vulnerabilidad antes del 21 de enero de 2025.
Recomendaciones de mitigación
Las organizaciones que utilizan productos Fortinet deben tomar las siguientes medidas para mitigar los riesgos:
- Actualizar firmware : aplique los últimos parches para FortiOS y FortiProxy como se especifica en el aviso de Fortinet.
- Restringir el acceso a la interfaz de administración : bloquee el acceso público a las interfaces de administración y utilice VPN para la administración remota.
- Supervisar registros : busque inicios de sesión inusuales o cambios de configuración que indiquen una vulnerabilidad.
- Habilitar MFA : aplique la autenticación multifactor para todas las cuentas administrativas.
La focalización oportunista pone de relieve la necesidad de vigilancia
El alcance de la campaña y la falta de perfiles específicos de las víctimas sugieren que se trata de una campaña oportunista en lugar de una selección deliberada. La actividad de inicio y cierre de sesión automatizados y la diversa victimología refuerzan la necesidad de contar con medidas de seguridad sólidas en organizaciones de todos los tamaños y sectores.
A medida que los ataques de día cero se vuelven cada vez más sofisticados, garantizar la aplicación oportuna de parches, limitar la exposición y mantener la vigilancia de la red siguen siendo fundamentales para la defensa contra amenazas en evolución.
