Bug em gateways Fortinet afeta vários dispositivos no Brasil

De acordo com o site Ciso Advisor, varreduras na web mostram que aproximadamente 150 mil gateways FortiOS e FortiProxy da Fortinet estão vulneráveis ao CVE-2024-21762, um problema crítico de segurança que permite a execução de código sem autenticação. Agência de Segurança Cibernética e Infraestrutura (CISA) dos EUA confirmou no mês passado que invasores estão explorando ativamente a falha, que foi adiciona ao seu catálogo de Vulnerabilidades Exploradas Conhecidas (KEV).

Apesar de há um mês a Fortinet ter aplicado correções ao CVE-2024-21762, a Shadowserver Foundation anunciou na quinta-feira passada, 7, que encontrou quase 150 mil dispositivos vulneráveis. Segundo a ONG de segurança cibernética, há versões vulneráveis, portanto, o número de dispositivos afetados pode ser menor se os administradores aplicarem mitigações em vez de atualizar.

Ainda de acordo com a Shadowserver, um invasor remoto poderia explorar o CVE-2024-21762 — que tem escore de 9.8 sistema de pontuação comum de vulnerabilidades (CVSS) — enviando solicitações HTTP especialmente criadas para máquinas vulneráveis. 

A ONG diz que os dispositivos mais vulneráveis, mais de 24 mil, estão nos Estados Unidos, seguidos por Índia, Brasil e Canadá.

Os detalhes sobre os operadores de ameaças que exploram ativamente o CVE-2024-21762 são limitados, uma vez que as plataformas públicas não mostram se tal atividade ou a vulnerabilidade está sendo explorada em ataques por grupos mais sofisticados.

As empresas podem verificar se seus sistemas VPN SSL são vulneráveis a esse problema executando um script Python simples desenvolvido por pesquisadores da empresa de segurança ofensiva BishopFox.

FortiOS é o sistema operacional da Fortinet com recursos de segurança como proteção contra ataques de negação de serviço (DoS), prevenção de intrusões (IPS), firewall e serviços VPN.

Para ter acesso aos detalhes do CVE-2024-21762 abordados pelo Instituto Nacional de Padrões e Tecnologia (NIST) dos EUA clique aqui.