NUEVA POC EXPLOIT QUE AFECTA A FORTINAC

22/02/2023

BOLETÍN NRO 2023-115

Recientemente investigadores de seguridad han lanzado un exploit PoC para CVE-2022-39952, una vulnerabilidad crítica que afecta a FortiNAC, la solución de control de acceso a la red de Fortinet.

Servicios Afectados

• FortiNAC versión 9.4.0

• FortiNAC versión 9.2.0 a 9.2.5

• FortiNAC versión 9.1.0 a 9.1.7

• FortiNAC 8.8 todas las versiones

• FortiNAC 8.7 todas las versiones

• FortiNAC 8.6 todas las versiones

• FortiNAC 8.5 todas las versiones

• FortiNAC 8.3 todas las versioness

Detalles Tecnicos

CVE: CVE-2022-39952                                    Severidad:   ALTA

Como en anteriores vulnerabilidades de archivos, que permiten la escritura arbitraria en ellas; se emplea la vulnerabilidad CVE-2022-39952, para escribir una tarea cron en /etc/cron.d/payload. Dicha tarea se activa cada minuto e inicia un Shell inverso para el atacante. 

Al comienzo del ataque, se crea un zip que contiene un archivo, se especifica la ruta en donde se debería extraer. Posteriormente, se envía el archivo zip malicioso al endpoint vulnerable en el campo clave.

Fue explicado la naturaleza de la falla y los indicadores compartidos de compromiso: la línea Running configApplicanceXml en los registros del sistema de archivos ubicados en /bsc/logs/output.master. Sin embargo, es probable que los analistas no encuentren el archivo de registro, debido a que puede ser borrado por los atacantes.

Se puede abusar de las vulnerabilidades de escritura arbitraria de archivos de varias maneras para obtener la ejecución remota de código. En este caso se escribe una tarea cron en /etc/cron.d/ , pero los atacantes también podrían sobrescribir un sistema binario que se ejecuta regularmente o claves SSH en un perfil de usuario.

Investigadores de seguridad señalaron que el exploit PoC de Horizon3ai se probó y funciona contra dispositivos vulnerables, y que los honeypots de ShadowServer ya informaron actividad de escaneo.

Indicadores de Compromiso

IP

173[.]249[.]56[.]171

Recomendaciones

Se recomienda a nuestros clientes que cuenten con los servicios que puedan verse afectados, seguir las siguientes acciones preventivas para reducir riesgos:

Para el personal de seguridad de información:

• Se recomienda a los administradores actualizar sus dispositivos FortiNAC a la versión 9.4.1 o superior, 9.2.6 o superior, 9.1.8 o superior y 7.2.0 o superior lo antes posible.

• Mantener un protocolo estricto para realizar copias de seguridad de los activos de información de mayor criticidad.

• Mantener un protocolo de actualizaciones estricto de sistemas operativos, antivirus y todas las aplicaciones que se ejecutan en ellos.

• Concientizar constantemente a los usuarios en temas relacionados a seguridad informática.

• Mantener el conocimiento situacional de las últimas amenazas y zonas vulnerables de la organización.

• Bloquear los indicadores de compromisos (IOC) mostrados, en los dispositivos de seguridad de su infraestructura.

** Antes de realizar el bloqueo de IoCs o aplicar actualizaciones es importante que previamente en ambiente de desarrollo se valide y confirme a nivel de servicios, con el propósito de aplicar los cambios de manera controlada.

Para usuarios finales:

• No abrir correos electrónicos de dudosa procedencia (remitente desconocido), ni dar clic en enlaces, ni descargar archivos adjuntos desconocidos.

• Escanear todo el software descargado de Internet antes de la ejecución.

• De detectar cualquier actividad anómala en su equipo reportarlo inmediatamente a los encargados de seguridad de la información de su institución.

Fuente

• Fuente 1: PoC exploit, IoC para Fortinet FortiNAC RCE publicado (CVE-2022-39952) El equipo de ataque de Horizon3.a
• Fuente 2: Equipo de Anti-Fraude y Dark Web Intelligence SecureSoft

Contáctanos

Si usted tiene alguna consulta no dude en contactarse con nosotros: 

Perú:
Consultas técnicas: monitoreo_pe@securesoftcorp.com 
Consultas comerciales: ventas@securesoftcorp.com

Ecuador:
Consultas técnicas: monitoreo_ec@securesoftcorp.com
Consultas comerciales: ventas_ec@securesoftcorp.com

Colombia:
Consultas técnicas: monitoreo_co@securesoftcorp.com
Consultas comerciales: ventas_co@securesoftcorp.com

Chile:
Consultas técnicas: monitoreo_cl@securesoftcorp.com
Consultas comerciales: ventas_cl@securesoftcorp.com

​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​