พบ Fortinet Firewall กว่าหมื่นเครื่องยังเสี่ยงต่อช่องโหว่ 2FA Bypass

Shadowserver รายงาน พบ Fortinet firewall กว่า 10,000 เครื่องที่ยังไม่ได้รับการแพตช์และตกเป็นเป้าหมายการโจมตีช่องโหว่ 2FA bypass ที่มีอายุกว่า 5 ปี

ช่องโหว่ดังกล่าวคือ CVE-2020-12812 ซึ่งเป็นช่องโหว่ประเภท Improper Authentication บน FortiGate SSL VPN ที่มีค่า CVSS 9.8 ระดับ Critical โดยทำให้ผู้โจมตีสามารถ bypass 2FA (FortiToken) ได้ด้วยการเปลี่ยน case ของ username เมื่อเข้าสู่ระบบ ทาง Fortinet ได้ปล่อยแพตช์แก้ไขตั้งแต่เดือนกรกฎาคม 2020 ใน FortiOS version 6.4.1, 6.2.4 และ 6.0.10 พร้อมแนะนำให้ผู้ดูแลระบบที่ยังไม่สามารถแพตช์ได้ปิดการใช้งาน username-case-sensitivity เพื่อป้องกันการโจมตีชั่วคราว

เมื่อสัปดาห์ที่ผ่านมา Fortinet ออกคำเตือนว่าพบการโจมตีช่องโหว่นี้อีกครั้ง โดยเฉพาะอุปกรณ์ที่มีการเปิดใช้งาน LDAP (Lightweight Directory Access Protocol) จากข้อมูลของ Shadowserver พบว่ามี Fortinet firewall ที่ยังเปิดให้เข้าถึงได้จาก internet และไม่ได้รับการแพตช์กว่า 10,000 เครื่อง โดยมากกว่า 1,300 IP addresses อยู่ในสหรัฐอเมริกา ก่อนหน้านี้ CISA และ FBI เคยออกคำเตือนตั้งแต่เดือนเมษายน 2021 ว่ากลุ่มแฮกเกอร์ที่ได้รับการสนับสนุนจากรัฐกำลังใช้ช่องโหว่นี้ในการโจมตี และ CISA ได้เพิ่มช่องโหว่นี้เข้าไปใน Known Exploited Vulnerabilities catalog ในเดือนพฤศจิกายน 2021 โดยระบุว่ามีการใช้ในการโจมตี ransomware

ช่องโหว่บนผลิตภัณฑ์ของ Fortinet มักถูกใช้ในการโจมตีอยู่บ่อยครั้ง รวมถึงการโจมตีแบบ zero-day โดยล่าสุดมีรายงานว่ากลุ่ม Volt Typhoon จากจีนเคยใช้ช่องโหว่บน FortiOS ในการฝัง backdoor บนเครือข่ายกองทัพของกระทรวงกลาโหมเนเธอร์แลนด์ ผู้ดูแลระบบที่ยังใช้งาน Fortinet firewall ควรตรวจสอบและอัปเดตแพตช์โดยด่วน

ที่มา: https://www.bleepingcomputer.com/news/security/over-10-000-fortinet-firewalls-exposed-to-ongoing-2fa-bypass-attacks/