Fortinet issued an alert this month confirming active exploitation of vulnerability CVE-2020-12812 (CVSS 9.8), an improper authentication flaw in FortiOS SSL VPN that allows bypassing two-factor authentication (2FA) in specific configurations involving LDAP. Despite being patched in July 2020 and added to CISA's Known Exploited Vulnerabilities (KEV) catalog in November 2021, the vulnerability continues to be actively exploited by multiple threat actors against organizations that have not applied patches or maintain vulnerable configurations.

The vulnerability exploits a discrepancy in username handling between FortiGate and LDAP directories. For successful exploitation, three conditions must be present: local users on FortiGate with 2FA enabled that reference LDAP, these same users must be members of groups on the LDAP server, and at least one of these LDAP groups must be configured on FortiGate and used in authentication policies. The attack works as follows: when a legitimate user with configured 2FA attempts to authenticate with the exact username, the second factor token is requested normally. However, if an attacker in possession of valid credentials modifies the capitalization, FortiGate fails to match the local user and evaluates other configured authentication policies. FortiGate then identifies secondary LDAP groups in firewall policies and, finding the associated LDAP server, authenticates the user directly with only username and password, bypassing 2FA settings.

This vulnerability has been exploited in ransomware attacks and by APT groups, as warned by the FBI and CISA in 2021. However, threat actors continue to exploit this flaw in attacks against vulnerable FortiGate firewalls. In this regard, it is important to highlight that FortiGate devices are recurring exploitation targets, such as the case of another previous vulnerability CVE-2023-27997 (CVSS 9.2) involving heap buffer overflow in SSL-VPN, which allowed unauthenticated remote code execution and was used in attacks during the first half of this year. The manufacturer warned that threat actors were using this previously exploited flaw to implement new techniques. In this case, after initial compromise, the attacker created a symbolic link connecting the user file system to the root file system in a folder used to serve SSL-VPN language files. Thus, even if the FortiGate device was updated with FortiOS versions that fixed the vulnerabilities, this malicious link could remain intact on the system, allowing the threat actor to maintain read-only access to files.

Fortinet emitió una alerta este mes confirmando la explotación activa de la vulnerabilidad CVE-2020-12812 (CVSS 9.8), una falla de autenticación incorrecta en FortiOS SSL VPN que permite eludir la autenticación de dos factores (2FA) en configuraciones específicas que involucran LDAP. A pesar de haber sido corregida en julio de 2020 y agregada al catálogo de vulnerabilidades conocidas explotadas (KEV) de CISA en noviembre de 2021, el error continúa siendo activamente utilizado por múltiples actores de amenaza contra organizaciones que no han aplicado los parches o mantienen configuraciones vulnerables.

La vulnerabilidad explota una discrepancia en el manejo de nombres de usuario entre FortiGate y directorios LDAP. Para que la explotación sea exitosa, deben estar presentes tres condiciones: usuarios locales en FortiGate con 2FA habilitado que referencian LDAP, estos mismos usuarios deben ser miembros de grupos en el servidor LDAP y al menos uno de estos grupos LDAP debe estar configurado en FortiGate y utilizado en políticas de autenticación. El ataque funciona de la siguiente manera: cuando un usuario legítimo con 2FA configurado intenta autenticarse con el nombre de usuario exacto, el token de segundo factor se solicita normalmente. Sin embargo, si un atacante en posesión de credenciales válidas modifica la capitalización, FortiGate falla al corresponder el usuario local y evalúa otras políticas de autenticación configuradas. FortiGate entonces identifica grupos LDAP secundarios en las políticas de firewall y, al encontrar el servidor LDAP asociado, autentica al usuario directamente con solo nombre de usuario y contraseña, ignorando las configuraciones de 2FA.

Esta vulnerabilidad ha sido explotada en ataques de ransomware y por grupos APT, según alertaron el FBI y CISA en 2021. Sin embargo, los actores de amenaza continúan explotando esta falla en ataques contra firewalls FortiGate vulnerables. En este sentido, es importante destacar que los dispositivos FortiGate son objetivos recurrentes de explotación, como el caso de otra vulnerabilidad anterior CVE-2023-27997 (CVSS 9.2) de desbordamiento de búfer en heap en SSL-VPN, que permitía la ejecución remota de código sin autenticación y que fue utilizada en ataques durante el primer semestre de este año. El fabricante alertó que los actores de amenaza usaban esta falla previamente explotada para implementar nuevas técnicas. En este caso, después del compromiso inicial, el atacante creaba un enlace simbólico conectando el sistema de archivos del usuario al sistema de archivos root en una carpeta utilizada para servir archivos de idioma del SSL-VPN. Así, incluso si el dispositivo FortiGate estuviera actualizado con versiones de FortiOS que corrigieron las vulnerabilidades, este enlace malicioso podría permanecer intacto en el sistema, permitiendo que el actor de amenaza mantuviera acceso de solo lectura a los archivos.