FortiCloud SSO-eksponering etterlater over 25 000 enheter åpne for angrep

FortiCloud SSO-eksponering har satt titusenvis av Fortinet-enheter i fare for fjernkompromittering. Sikkerhetsforskere har identifisert mer enn 25 000 internett-eksponerte systemer med FortiCloud Single Sign-On aktivert, noe som skaper en stor angrepsflate for trusselaktører.

De eksponerte enhetene tilhører organisasjoner på tvers av flere regioner og bransjer. Selv om FortiCloud SSO er utviklet for å forenkle autentisering, har funksjonens tilstedeværelse på offentlig tilgjengelige administrasjonsgrensesnitt introdusert alvorlige sikkerhetsrisikoer.

Forskere advarer om at angripere aktivt skanner etter sårbare systemer og forsøker å utnytte svake eller feilkonfigurerte autentiseringsflyter.

Hvordan FortiCloud SSO ble en angrepsvektor

FortiCloud SSO gjør det mulig for administratorer å administrere Fortinet-produkter gjennom en sentralisert, skybasert innlogging. Funksjonen er ikke aktivert som standard, men blir ofte slått på når enheter registreres via Fortinets administrasjonsgrensesnitt.

Når SSO er aktivert, kan autentiseringsendepunkter bli eksponert mot internett. I flere tilfeller har angripere utnyttet denne eksponeringen til å forsøke uautoriserte innlogginger uten gyldige legitimasjoner.

Sikkerhetsteam har observert mistenkelige SSO-innloggingsforsøk rettet mot administratorkontoer. Disse forsøkene indikerer at angripere prøver å omgå normale innloggingsbeskyttelser og oppnå forhøyet tilgang.

Hva angripere kan få tilgang til etter en vellykket kompromittering

Hvis angripere får administrativ tilgang, kan konsekvensene bli alvorlige. Kompromitterte enheter kan gi tilgang til konfigurasjonsfiler, interne nettverksdetaljer, brannmurregler og brukerkontodata.

I enkelte tilfeller kan angripere endre sikkerhetspolicyer, opprette nye administratorkontoer eller deaktivere beskyttelsesmekanismer fullstendig. Dette kontrollnivået gjør berørte enheter til verdifulle inngangspunkter for bredere nettverksinntrengning.

FortiCloud SSO-eksponeringen innebærer derfor både umiddelbare og langsiktige risikoer for berørte organisasjoner.

Hvorfor omfanget gjør eksponeringen særlig farlig

Det høye antallet eksponerte systemer øker trusselnivået betydelig. Storskala eksponering gjør det mulig for angripere å automatisere skanning og utnyttelsesforsøk, noe som øker sannsynligheten for vellykkede angrep.

Mange organisasjoner kan være uvitende om at FortiCloud SSO er aktivt eller eksternt tilgjengelig. Denne manglende oversikten forsinker respons og gir angripere mer tid til å operere uoppdaget.

Sikkerhetsforskere understreker at eksponerte administrasjonsgrensesnitt ofte blir mål kort tid etter at sårbarheter eller feilkonfigurasjoner blir kjent.

Anbefalte tiltak for berørte organisasjoner

Organisasjoner som bruker Fortinet-produkter bør umiddelbart gjennomgå konfigurasjonene sine. Administratorer bør bekrefte om FortiCloud SSO er aktivert, og om administrasjonsgrensesnitt er eksponert mot internett.

Sikkerhetsteam bør begrense administrativ tilgang til betrodde nettverk og deaktivere unødvendige skybaserte autentiseringsfunksjoner. Det er også kritisk å installere leverandørens sikkerhetsoppdateringer og gjennomgå logger for uvanlig innloggingsaktivitet.

Organisasjoner bør i tillegg behandle FortiCloud SSO-eksponering som en potensiell sikkerhetshendelse og gjennomføre interne revisjoner for å utelukke uautorisert tilgang.

Konklusjon

FortiCloud SSO-eksponering viser hvordan bekvemmelighetsfunksjoner kan utvikle seg til alvorlige sikkerhetsproblemer når de er feilkonfigurert. Med mer enn 25 000 enheter tilgjengelige på nettet har angripere et stort målområde og sterke insentiver til å fortsette å undersøke eksponerte systemer.

Organisasjoner som handler raskt for å redusere eksponering, stramme inn tilgangskontroller og gjennomgå autentiseringsinnstillinger kan redusere risikoen betydelig. Forsinkede tiltak øker derimot risikoen for kompromittering og langsiktige nettverksskader.