ABD Federal Soruşturma Bürosu (FBI), devlet destekli APT gruplarının Fortinet VPN zafiyetlerinden faydalanarak saldırılar gerçekleştirdiğini duyurdu.
Fortinet SSL VPN’de bulunan üç güvenlik zafiyetini ağ içinde yer edinmek için kullanan siber saldırganlar, saldırıları için keşiflerini de bu yer edinme sayesinde gerçekleştiriyor.
FBI ve Siber Güvenlik ve Alt Yapı Güvenliği Ajansı (CISA), gelişmiş kalıcı tehdit (APT) ulus-devlet aktörlerinin, şirketin SSL VPN ürünlerini etkileyen Fortinet FortiOS siber güvenlik işletim sistemindeki güvenlik zafiyetlerini aktif olarak istismar ettiği konusunda uyarılarda bulundu.
CISA ve FBI ortak açıklamada, siber saldırganların 4443, 8443 ve 10443 portlarını taradığını ve güncellenmemiş Fortinet güvenlik araçlarını bulmaya çalıştığını belirtti . Özel olarak ise APTler CVE-2018-13379, CVE-2019-5591 ve CVE-2020-12812 olarak kodlanmış güvenlik zafiyetlerini istismar ediyor. Söz konusu üç güvenlik zafiyeti siber saldırganlara farklı olanaklar tanıyor.
Kolay Erişim
ZAFİYETLER FARKLI İSTİSMARLARA YOL AÇIYOR
CVE-2018-13379 olarak kodlanan güvenlik açığı Fortinet FortiOS’ta, SSL VPN web portalının, kimliği doğrulanmamış bir saldırganın, özel olarak hazırlanmış HTTP kaynak istekleri aracılığıyla sistem dosyalarını indirmesine olanak sağlıyor.
CVE-2019-5591 olarak kodlanan FortiOS’taki Varsayılan Yapılandırma güvenlik zafiyeti, aynı alt ağdaki kimliği doğrulanmamış bir saldırgan, LDAP sunucusunu taklit ederek hassas bilgilere müdahale edebiliyor.
Hatalı kimlik doğrulama güvenlik zafiyeti olan CVE-2020-12812 ise, FortiOS SSL VPN’de kullanıcı adının değişmesi durumunda ikinci kimlik doğrulama faktörü (FortiToken) istenmeden siber saldırganların başarılı bir şekilde oturum açmasına izin verebiliyor.
FBI’dan deepfake uyarısı: “Rusya ve Çin siber operasyonlar için kullanabilir”
Horizon3.AI’de kırmızı takım mühendisi olan Zach Hanley, siber saldırganların harici uygulamaları gittikçe daha fazla hedeflediğini söyleyerek, “Fortinet VPN’i hedefleyen söz konusu üç güvenlik zafiyetinden yararlanan siber saldırganların, geçerli kimlik bilgilerine erişmesine, çok faktörlü kimlik doğrulamasını (MFA) atlamasına ve Man-in-the-middle saldırısına olanak sağlıyor.” dedi.
KRİTİK AĞLARA ERİŞMEYE ÇALIŞIYORLAR
Siber güvenlik uzmanlarına göre siber saldırganlar güvenlik zafiyetlerinden yararlandıktan sonra hedefleri üzerinde araştırmalar yapıyor. FBI ve CISA’nın yayımladıkları raporda “APT aktörleri, söz konusu güvenlik zafiyetlerini veri hırsızlığı veya veri şifreleme saldırıları için ön konumlanma olarak kullanıyor. Daha sonrasında kritik ağlara erişmeye çalışıyorlar” denildi.
Son birkaç yıldır ise SSL VPN güvenlik zafiyetleri hem APT gruplarının hem de diğer siber saldırganlar için çekici bir hedef haline gelmeye başladığı biliniyor. Pandemi dolayısıyla uzaktan çalışmaya geçişin yaygınlaşması ve Fortinet gibi diğer SSL VPN’lere olan talebin artması, saldırı düzeylerini ve hedeflerini de genişletiyor.
