FortiCloud SSO-eksponering efterlader over 25.000 enheder åbne for angreb

FortiCloud SSO-eksponering har sat titusindvis af Fortinet-enheder i risiko for fjernkompromittering. Sikkerhedsforskere har identificeret mere end 25.000 interneteksponerede systemer med FortiCloud Single Sign-On aktiveret, hvilket skaber en stor angrebsflade for trusselsaktører.

De eksponerede enheder tilhører organisationer på tværs af flere regioner og brancher. Selvom FortiCloud SSO er designet til at forenkle autentificering, har funktionens tilstedeværelse på offentligt tilgængelige administrationsgrænseflader introduceret alvorlige sikkerhedsrisici.

Forskere advarer om, at angribere aktivt scanner efter sårbare systemer og forsøger at udnytte svage eller fejlkonfigurerede autentificeringsflows.

Hvordan FortiCloud SSO blev en angrebsvektor

FortiCloud SSO gør det muligt for administratorer at administrere Fortinet-produkter via et centraliseret, cloudbaseret login. Funktionen er ikke aktiveret som standard, men bliver ofte aktiveret, når enheder registreres via Fortinets administrationsgrænseflade.

Når SSO er aktiveret, kan autentificeringsendepunkter blive eksponeret mod internettet. I flere tilfælde har angribere misbrugt denne eksponering til at forsøge uautoriserede logins uden gyldige legitimationsoplysninger.

Sikkerhedsteams har observeret mistænkelige SSO-loginforsøg rettet mod administratorkonti. Disse forsøg indikerer, at angribere forsøger at omgå normale loginbeskyttelser og opnå forhøjet adgang.

Hvad angribere kan få adgang til efter en vellykket kompromittering

Hvis angribere opnår administrativ adgang, kan konsekvenserne være alvorlige. Kompromitterede enheder kan give adgang til konfigurationsfiler, interne netværksdetaljer, firewallregler og brugerkontodata.

I nogle tilfælde kan angribere ændre sikkerhedspolitikker, oprette nye administratorkonti eller helt deaktivere beskyttelsesmekanismer. Dette kontrolniveau gør berørte enheder til værdifulde indgangspunkter for bredere netværksindtrængen.

FortiCloud SSO-eksponeringen udgør derfor både umiddelbare og langsigtede risici for de berørte organisationer.

Hvorfor omfanget gør eksponeringen særligt farlig

Det store antal eksponerede systemer øger trusselsniveauet markant. Storskala eksponering gør det muligt for angribere at automatisere scanning og udnyttelsesforsøg, hvilket øger sandsynligheden for vellykkede angreb.

Mange organisationer er muligvis ikke klar over, at FortiCloud SSO er aktivt eller eksternt tilgængeligt. Denne manglende synlighed forsinker reaktionen og giver angribere mere tid til at operere uopdaget.

Sikkerhedsforskere fremhæver, at eksponerede administrationsgrænseflader ofte bliver mål kort tid efter, at sårbarheder eller fejlkonfigurationer bliver offentligt kendt.

Anbefalede tiltag for berørte organisationer

Organisationer, der bruger Fortinet-produkter, bør straks gennemgå deres konfigurationer. Administratorer bør bekræfte, om FortiCloud SSO er aktiveret, og om administrationsgrænseflader er eksponeret mod internettet.

Sikkerhedsteams bør begrænse administrativ adgang til betroede netværk og deaktivere unødvendige cloudbaserede autentificeringsfunktioner. Det er også afgørende at installere leverandørens sikkerhedsopdateringer og gennemgå logfiler for usædvanlig loginaktivitet.

Organisationer bør desuden behandle FortiCloud SSO-eksponering som en potentiel sikkerhedshændelse og gennemføre interne revisioner for at udelukke uautoriseret adgang.

Konklusion

FortiCloud SSO-eksponering viser, hvordan bekvemmelighedsfunktioner kan blive alvorlige sikkerhedsrisici, når de er fejlkonfigureret. Med mere end 25.000 enheder tilgængelige online har angribere et stort målområde og stærke incitamenter til fortsat at undersøge eksponerede systemer.

Organisationer, der handler hurtigt for at reducere eksponering, stramme adgangskontroller og gennemgå autentificeringsindstillinger, kan markant sænke deres risikoniveau. Forsinkede tiltag øger derimod risikoen for kompromittering og langsigtede netværksskader.