Este miercoles, Fortinet confirmó que observó "abuso reciente de una falla de seguridad de cinco años en FortiOS SSL VPN en ciertas configuraciones".

La vulnerabilidad en cuestión es CVE-2020-12812 (CVSS: 5.2), una vulnerabilidad de autenticación incorrecta en SSL VPN en FortiOS que podría permitir a un usuario iniciar sesión correctamente sin que se le solicite el segundo factor de autenticación si se cambia el caso del nombre de usuario.

"Esto sucede cuando la autenticación de dos factores está habilitada en la configuración 'usuario local' y ese tipo de autenticación de usuario está configurado en un método de autenticación remota (por ejemplo, LDAP)", señaló Fortinet en julio de 2020. "El problema existe debido a una coincidencia inconsistente entre mayúsculas y minúsculas entre la autenticación local y remota".

Desde entonces, la vulnerabilidad ha sido objeto de explotación activa en la naturaleza por parte de múltiples actores de amenazas, y el gobierno de EE.UU. también la incluye como una de las muchas debilidades que se utilizaron como arma en ataques dirigidos a dispositivos de tipo perimetral en 2021.

En un nuevo aviso emitido el 24 de diciembre de 2025, Fortinet señaló que la activación exitosa de CVE-2020-12812 requiere que esté presente la siguiente configuración:

• Entradas de usuarios locales en FortiGate con 2FA, haciendo referencia a LDAP
• Los mismos usuarios deben ser miembros de un grupo en el servidor LDAP.
• Al menos un grupo LDAP del que son miembros los usuarios de dos factores debe configurarse en FortiGate, y el grupo debe usarse en una política de autenticación que podría incluir, por ejemplo, usuarios administrativos, SSL o VPN IPSEC.

Si se cumplen estos requisitos previos, la vulnerabilidad hace que los usuarios de LDAP con 2FA configurado omitan la capa de seguridad y en su lugar se autentiquen directamente en LDAP, lo que, a su vez, es el resultado de que FortiGate trata los nombres de usuario como que distinguen entre mayúsculas y minúsculas, mientras que el directorio LDAP no.

"Si el usuario inicia sesión con 'Jsmith', o 'jSmith', o 'JSmith', o 'jsmiTh' o cualquier cosa que NO coincida exactamente con 'jsmith', FortiGate no comparará el inicio de sesión con el del usuario local", explicó Fortinet. "Esta configuración hace que FortiGate considere otras opciones de autenticación. FortiGate verificará otras políticas de autenticación de firewall configuradas".

Después de no poder hacer coincidir jsmith, FortiGate encuentra el grupo secundario configurado 'Auth-Group', y desde allí el servidor LDAP, y siempre que las credenciales sean correctas, la autenticación será exitosa independientemente de cualquier configuración dentro de la política de usuario local (2FA y cuentas deshabilitadas).

Como resultado, la vulnerabilidad puede autenticar usuarios administradores o VPN sin 2FA. Fortinet lanzó FortiOS 6.0.10, 6.2.4 y 6.4.1 para abordar el comportamiento en julio de 2020 (FG-IR-19-283).

Las organizaciones que no han implementado estas versiones pueden ejecutar el siguiente comando para todas las cuentas locales para evitar el problema de omisión de autenticación:

set username-case-sensitivity disable

Se recomienda a los clientes que tengan las versiones de FortiOS 6.0.13, 6.2.10, 6.4.7, 7.0.1 o posteriores que ejecuten el siguiente comando:

set username-sensitivity disable

"Con la sensibilidad del nombre de usuario configurada como deshabilitada, FortiGate tratará a jsmith, JSmith, JSMITH y todas las combinaciones posibles como idénticas y, por lo tanto, evitará la conmutación por error a cualquier otra configuración de grupo LDAP mal configurada", dijo la compañía.

Como mitigación adicional, vale la pena considerar eliminar el grupo LDAP secundario si no es necesario, ya que esto elimina toda la línea de ataque ya que no será posible la autenticación a través del grupo LDAP y el usuario fallará en la autenticación si el nombre de usuario no coincide con una entrada local.

Sin embargo, la guía recientemente publicada no proporciona detalles sobre la naturaleza de los ataques que explotan la falla, ni si alguno de esos incidentes tuvo éxito. Fortinet también recomendó a los clientes afectados que se comuniquen con su equipo de soporte y restablezcan todas las credenciales si encuentran evidencia de que los administradores o usuarios de VPN están autenticados sin 2FA.

Fuente: THN