FortiCloud SSO-zero-day utnyttes aktivt

Fortinet har bekreftet aktiv utnyttelse av en FortiCloud SSO-zero-day-sårbarhet som påvirker flere Fortinet-enheter. Selskapet har innført midlertidige blokkeringstiltak for å begrense misbruk, mens ingeniører arbeider med en permanent løsning.

Sårbarheten gjør det mulig for angripere å omgå autentiseringskontroller knyttet til FortiCloud Single Sign-On. Dette skaper en alvorlig risiko for miljøer som er avhengige av sentralisert, skybasert autentisering for enhetsadministrasjon.

Hva zero-day-sårbarheten muliggjør

FortiCloud SSO-zero-day-sårbarheten gir uautorisert tilgang til enheter som er registrert under samme FortiCloud-konto. Ved utnyttelse kan angripere autentisere seg mot ytterligere systemer uten å gjennomføre nødvendige verifiseringskontroller.

Denne tilgangen kan gjøre det mulig å opprette nye administratorkontoer og endre sikkerhetskonfigurasjoner. Når administrativ kontroll først er oppnådd, kan angripere deaktivere beskyttelser eller etablere vedvarende tilgang.

Hvorfor utnyttelsen er bekymringsfull

Sårbarheten er særlig farlig fordi den kan misbrukes selv på fullt oppdaterte systemer. Tradisjonell patching alene fjerner ikke risikoen så lenge den underliggende feilen forblir uløst.

Sårbarheter som muliggjør omgåelse av autentisering regnes blant de mest alvorlige sikkerhetsproblemene. De eliminerer behovet for privilegieeskalering og gir direkte tilgang til sensitive administrasjonsgrensesnitt.

Fortinets begrensningstiltak

For å redusere eksponeringen har Fortinet midlertidig blokkert enkelte FortiCloud SSO-interaksjoner som er knyttet til utnyttelsesforsøk. Selskapet har også iverksatt tiltak for å deaktivere kontoer som mistenkes for ondsinnet aktivitet.

Disse tiltakene er ment som kortsiktige beskyttelser. Fortinet har opplyst at en fullstendig patch er under utvikling og vil bli lansert etter at validering og testing er fullført.

Hvem som er mest utsatt

Enheter som benytter FortiCloud SSO for fjernadministrasjon, har høyest eksponering. Funksjonen kan bli aktivert under enhetsregistrering dersom den ikke eksplisitt deaktiveres, noe som øker antallet potensielt berørte systemer.

Organisasjoner som bruker Fortinet-produkter til brannmur, nettverksadministrasjon eller sikkerhetsovervåking, bør nøye gjennomgå autentiseringsinnstillinger og tilgangslogger i denne perioden.

Anbefalte defensive tiltak

Administratorer anbefales å deaktivere FortiCloud SSO dersom funksjonen ikke er strengt nødvendig. Å begrense fjernadministrativ tilgang og overvåke uvanlig påloggingsaktivitet kan ytterligere redusere risikoen.

Sikkerhetsteam bør også gjennomgå kontotilganger og fjerne ubrukte eller unødvendige administratorkontoer. Disse tiltakene bidrar til å begrense konsekvensene dersom utnyttelsesforsøk skulle forekomme.

Konklusjon

FortiCloud SSO-zero-day-sårbarheten fremhever den vedvarende risikoen som autentiserings­omgåelser representerer. Selv godt vedlikeholdte systemer kan forbli eksponert når svakheter finnes i sentraliserte tilgangsmekanismer.

Fortinets midlertidige blokkeringstiltak gir kortsiktig beskyttelse, men organisasjoner bør forbli årvåkne frem til en permanent patch er på plass. Sterke tilgangskontroller og proaktiv overvåking er fortsatt avgjørende forsvar mot zero-day-trusler.