مظنون بودن آسیب‌پذیری روز صفر در حملات علیه فایروال‌های فورتی‌نت با رابط‌های در معرض قرار گرفته

شکارچیان تهدید نسبت به کمپین جدیدی هشدار داده‌اند که دستگاه‌های فایروال FortiGate شرکت Fortinet را با رابط‌های مدیریتی در معرض اینترنت عمومی هدف قرار داده است. شرکت امنیت سایبری Arctic Wolf اعلام کرد که این کمپین شامل ورود غیرمجاز مدیریتی به رابط‌های مدیریتی فایروال‌ها، ایجاد حساب‌های کاربری جدید، احراز هویت SSL VPN از طریق این حساب‌ها و تغییرات مختلف پیکربندی بوده است. فعالیت مخرب از اواسط نوامبر ۲۰۲۴ آغاز شده و مهاجمان ناشناس با دسترسی غیرمجاز به رابط‌های مدیریتی فایروال‌های آسیب‌دیده، پیکربندی‌ها را تغییر داده و با استفاده از تکنیک DCSync اعتبارنامه‌ها را استخراج کرده‌اند.

Fortinet تأیید کرده که آسیب‌پذیری جدید و بحرانی دور زدن احراز هویت در FortiOS و FortiProxy (CVE-2024-55591 با امتیاز CVSS: 9.6) توسط مهاجمان ناشناس برای ربودن فایروال‌ها و نفوذ به شبکه‌های سازمانی مورد سوءاستفاده قرار گرفته است. این آسیب‌پذیری نسخه‌های FortiOS 7.0.0 تا 7.0.16 و نسخه‌های مختلف FortiProxy را تحت تأثیر قرار می‌دهد و به مهاجمان امکان کسب دسترسی سوپر ادمین از طریق درخواست‌های ساختگی به ماژول websocket Node.js را می‌دهد. کمپین در چهار مرحله مجزا از ۱۶ نوامبر ۲۰۲۴ آغاز شده و مهاجمان از رابط jsconsole و آدرس‌های IP غیرعادی استفاده گسترده کرده‌اند.