El equipo PSIRT de Fortinet detalló los ataques en curso en una reciente entrada de blog, instando a los administradores a auditar las configuraciones inmediatamente para evitar compromisos. Denominada FG-IR-19-283 (CVE-2020-12812), el problema se debe a una discrepancia en la forma en que los dispositivos FortiGate gestionan los nombres de usuario en comparación con los directorios LDAP. FortiGate trata los nombres de usuario como sensibles a mayúsculas y minúsculas de forma predeterminada, mientras que la mayoría de los servidores LDAP, como Active Directory, ignoran las mayúsculas y minúsculas.

 Los atacantes explotan esto en configuraciones incorrectas donde los usuarios locales de FortiGate tienen activado el 2FA y también son miembros de grupos LDAP asignados a políticas de autenticación. El ataque se desarrolla de forma sencilla. Supón que un usuario local "jsmith" tiene activado el 2FA y está vinculado a un grupo LDAP como "Domain Users". Iniciar sesión con el "jsmith" exacto activa la solicitud de token. Pero los hackers introducen "Jsmith", "jSmith" o cualquier variación de mayúsculas y minúsculas. FortiGate no puede hacer coincidir al usuario local y luego recurre a políticas de autenticación secundarias vinculadas a grupos LDAP como "Helpdesk" o "Auth-Group". Las credenciales LDAP válidas por sí solas son suficientes, eludiendo por completo el 2FA. Fortinet confirmó estos requisitos previos para la explotación:

• Usuarios locales de FortiGate con 2FA que hace referencia a LDAP.
• Estos usuarios en grupos LDAP configurados en FortiGate y utilizados en firewall policies (por ejemplo, para SSL/IPsec VPN o acceso de administración).

Esto concede a los atacantes la entrada a la VPN o privilegios elevados sin tokens. Fortinet advierte que las omisiones exitosas indican un compromiso: restablece todas las credenciales, incluidas las cuentas de enlace LDAP/AD, y examina los registros en busca de anomalías como coincidencias locales fallidas seguidas de éxitos de LDAP. La vulnerabilidad se remonta a 2020, con correcciones en FortiOS 6.0.10, 6.2.4 y 6.4.1. Sin embargo, los dispositivos no parcheados o mal configurados persisten en el entorno, atrayendo a los hackers oportunistas. El análisis de Fortinet muestra a los atacantes sondeando configuraciones específicas, probablemente buscando firmware desactualizado.

Mitigaciones

Los administradores deben priorizar estos pasos:

1. Parchear el Firmware: Actualizar a FortiOS 6.0.10+, 6.2.4+, o 6.4.1+ para bloquear el comportamiento de fallo.
2. Desactivar la Sensibilidad a Mayúsculas y Minúsculas: En sistemas no parcheados, ejecutar set username-case-sensitivity disable (FortiOS 6.0.10–6.0.12, etc.) o set username-sensitivity disable (v6.0.13+, v6.2.10+, v6.4.7+, v7.0.1+). Esto normaliza los nombres de usuario como "jsmith" y "JSMITH".
3. Recortar Grupos LDAP: Eliminar grupos secundarios innecesarios de las políticas. Sin ellos, los inicios de sesión no coincidentes fallan directamente.
4. Auditar los Registros: Buscar intentos de variantes de mayúsculas y minúsculas en los eventos de autenticación.

Fortinet enfatiza que la ausencia de grupos LDAP elimina el riesgo de omisión para los usuarios de solo uso local. Este incidente subraya una dura realidad: las vulnerabilidades antiguas prosperan con la deriva de la configuración. Con los firewalls FortiGate protegiendo las redes críticas, las empresas deben aplicar políticas de mínimo privilegio y auditorías periódicas. Un retraso podría permitir el ransomware o el movimiento lateral. Actúa ahora antes de que los hackers descifren tus defensas.


Fuentes:
https://cybersecuritynews.com/fortigate-firewall-vulnerability/