Fortinet el miércoles dijo observó un «abuso reciente» de una falla de seguridad de hace cinco años en la VPN SSL de FortiOS en estado salvaje bajo ciertas configuraciones.
La vulnerabilidad en cuestión es CVE2020-12812 (puntuación CVSS: 5.2), una vulnerabilidad de autenticación inadecuada en SSL VPN en FortiOS que podía permitir a un usuario iniciar sesión correctamente sin que se le pidiera el segundo factor de autenticación si se cambiaba el nombre de usuario.
«Esto ocurre cuando la autenticación de dos factores está habilitada en la configuración 'usuario local' y ese tipo de autenticación de usuario se establece en un método de autenticación remota (por ejemplo, LDAP)», Fortinet apuntado en julio de 2020. «El problema se debe a que la autenticación local y remota no coincide entre mayúsculas y minúsculas».
Desde entonces, la vulnerabilidad se ha reducido explotación activa en el salvaje por múltiples actores de amenazas , y el gobierno de los Estados Unidos también lo incluye como una de las muchas debilidades que se convirtieron en armas en ataques contra dispositivos de tipo perimetral en 2021.
En un nuevo aviso emitido el 24 de diciembre de 2025, Fortinet señaló que para activar correctamente el CVE-2020-12812 se requiere la siguiente configuración:
- Entradas de usuarios locales en FortiGate con 2FA, que hacen referencia a LDAP
- Los mismos usuarios deben ser miembros de un grupo en el servidor LDAP
- Al menos un grupo LDAP del que son miembros los usuarios de dos factores debe configurarse en FortiGate, y el grupo debe usarse en una política de autenticación que podría incluir, por ejemplo, usuarios administrativos, SSL o VPN IPSEC
Si se cumplen estos requisitos previos, la vulnerabilidad hace que los usuarios de LDAP con 2FA configurada eludan la capa de seguridad y, en cambio, se autentiquen directamente en LDAP, lo que, a su vez, se debe a que FortiGate trata los nombres de usuario con distinción entre mayúsculas y minúsculas, mientras que el directorio LDAP no lo hace.
«Si el usuario inicia sesión con 'Jsmith', 'JSmith' o 'JSmith' o 'JSmith' o cualquier cosa que NO coincida exactamente con las mayúsculas y minúsculas de 'jsmith', FortiGate no comparará el inicio de sesión con el usuario local», explicó Fortinet. «Esta configuración hace que FortiGate considere otras opciones de autenticación. El FortiGate comprobará otras políticas de autenticación del firewall configuradas».
«Si no logra hacer coincidir jsmith, FortiGate busca el grupo secundario configurado 'Auth-Group' y, desde allí, el servidor LDAP y, siempre que las credenciales sean correctas, la autenticación se realizará correctamente independientemente de la configuración de la política de usuario local (2FA y cuentas deshabilitadas)».
Como resultado, la vulnerabilidad puede autenticar a los usuarios administradores o de VPN sin la autenticación de dos factores. Fortinet publicó FortiOS 6.0.10, 6.2.4 y 6.4.1 para corregir este comportamiento en julio de 2020. Las organizaciones que no hayan implementado estas versiones pueden ejecutar el siguiente comando en todas las cuentas locales para evitar que se eluda la autenticación:
desactivar la distinción entre mayúsculas y minúsculas en el nombre de usuario
Se recomienda a los clientes que utilicen las versiones 6.0.13, 6.2.10, 6.4.7, 7.0.1 o posteriores de FortiOS que ejecuten el siguiente comando:
desactivar la sensibilidad al nombre de usuario
«Si la sensibilidad a los nombres de usuario está desactivada, FortiGate tratará jsmith, JSmith, JSMITH y todas las combinaciones posibles como idénticas y, por lo tanto, evitará la conmutación por error a cualquier otra configuración de grupo LDAP mal configurada», afirma la empresa.
Como medida de mitigación adicional, vale la pena considerar eliminar el grupo LDAP secundario si no es necesario, ya que esto elimina toda la línea de ataque, ya que no será posible la autenticación a través del grupo LDAP y el usuario no podrá autenticarse si el nombre de usuario no coincide con una entrada local.
Sin embargo, la guía recientemente publicada no da detalles sobre la naturaleza de los ataques que aprovechan la falla, ni si alguno de esos incidentes tuvo éxito. Fortinet también ha recomendado a los clientes afectados que se pongan en contacto con su equipo de soporte y restablezcan todas las credenciales si encuentran pruebas de que los usuarios de VPN o administradores se han autenticado sin la autenticación de dos factores.
Post generado automaticamente, fuente oficial de la información: THEHACKERNEWS