FortiOS: a falha de escrita fora do limite que dava acesso de administrador ao firewall

Em março de 2024, a Fortinet publicou uma correção para uma falha de escrita fora dos limites na interface web de administração do FortiOS, presente em.firewalls e appliances de VPN da empresa. A CVE-2024-21762 permitia executar código com privilégio de root, e a exposição não exigia autenticação quando a interface estava acessível.

O que differentiate esse caso de outros foi a escala do que apareceu exposto. A varredura da internet encontrou dezenas de milhares de firewalls da Fortinet com a interface de administração aberta, em rede, em-bootstrap, em portaria de fibração, em gateways de escola e de Rede de catalyse. Muitos deles sem qualquer alteração de senha padrão, porque a instalação rápida não força a troca.

A campanha que exploitou a falha, chamada Ice Breaker, chegou a milhões de dispositivos e o que mais importa: o número de dispositivos comprometidos. A maioria dosEndpoints Affected era gerenciado por um terceiro, o provedor de services ou o integrador, o que criou uma cadeia de responsabilidade confusa. Quem era responsável por corrigir, o dono do equipamento ou quem operava o serviço de rede?

A lição é sobre a superfície de administração. Interfaces de administração não deveriam estar expostas à internet em nenhum cenário, e a verificação dessa regra, mesmo que simples, teria removido a maior parte do risco. A segunda lição é sobre o contrato de operação: quando um prestador mantém o equipamento, ele precisa de um caminho formal para aplicar correções críticas, e o cliente precisa de visibilidade de que elas foram aplicadas.