Firewalls de Fortinet bajo ataque activo: fallo crítico en SSO permite saltarse autenticación

Fallo crítico de Fortinet escala a explotación activa, amenazando los perímetros de red

Los equipos de seguridad de redes en todo el mundo se enfrentan a un imperativo urgente de aplicación de parches, ya que una vulnerabilidad crítica de omisión de autenticación en los dispositivos de seguridad principales de Fortinet ha pasado de ser una advertencia teórica a sufrir ataques activos en entornos reales. La falla, un problema grave en el componente de Single Sign-On (SSO) basado en Security Assertion Markup Language (SAML), permite a atacantes remotos no autenticados eludir por completo las protecciones de inicio de sesión y obtener control administrativo sobre los firewalls de última generación FortiGate y las puertas de enlace web seguras FortiProxy afectados.

Identificada como CVE-2024-21762, esta vulnerabilidad ha recibido una calificación de severidad crítica debido a su baja complejidad de ataque y la consecuencia de alto impacto que supone el compromiso total del sistema. Investigadores de seguridad y el propio Equipo de Respuesta a Incidentes de Seguridad de Productos (PSIRT) de Fortinet han confirmado la observación de intentos de explotación activos contra dispositivos sin parchear expuestos a internet. Este desarrollo transforma el panorama de amenazas, trasladando la vulnerabilidad de un elemento a parchear cuando sea posible a una emergencia que requiere parcheo inmediato para cualquier organización que utilice los productos afectados.

Análisis técnico: El mecanismo de omisión del SSO SAML

La vulnerabilidad reside en la implementación del servicio de autenticación SSO SAML dentro del software FortiOS y FortiProxy. SAML es un estándar abierto ampliamente adoptado para intercambiar datos de autenticación y autorización entre proveedores de identidad y proveedores de servicios, utilizado comúnmente en entornos empresariales para permitir un acceso fluido a múltiples aplicaciones con un solo inicio de sesión.

En un flujo SAML que funciona correctamente, la identidad de un usuario es verificada por un Proveedor de Identidad (IdP) de confianza, que luego genera una aserción firmada criptográficamente. Esta aserción se presenta al Proveedor de Servicio (SP) —en este caso, el dispositivo Fortinet—, que valida la firma y concede el acceso. La falla en la implementación de Fortinet permite a un atacante manipular o falsificar este proceso, engañando al dispositivo para que acepte a un usuario no autorizado como un administrador legítimo y autenticado sin contactar nunca con el IdP legítimo.

La explotación no requiere acceso previo ni credenciales de usuario válidas. Un atacante puede enviar peticiones HTTP especialmente manipuladas al endpoint SAML vulnerable en la interfaz de gestión del dispositivo. Una explotación exitosa otorga al atacante el mismo nivel de acceso que un administrador de red, permitiéndole crear nuevas cuentas de usuario, cambiar políticas de red, interceptar tráfico, instalar puertas traseras persistentes y utilizar el dispositivo comprometido como punto de apoyo para moverse lateralmente dentro de la red interna.

Productos afectados e imperativo de parcheo

Fortinet ha identificado y publicado parches para las siguientes versiones de software afectadas:

• FortiOS (para firewalls FortiGate): Todas las versiones desde la 7.4.0 hasta la 7.4.2, desde la 7.2.0 hasta la 7.2.6 y desde la 7.0.0 hasta la 7.0.13.
• FortiProxy Secure Web Gateway: Todas las versiones desde la 7.4.0 hasta la 7.4.2 y desde la 7.2.0 hasta la 7.2.8.

Las organizaciones que ejecutan estas versiones deben actualizar a las versiones corregidas de inmediato: FortiOS 7.4.3 o superior, 7.2.7 o superior, 7.0.14 o superior; y FortiProxy 7.4.3 o superior o 7.2.9 o superior. Fortinet señala que las versiones 6.4, 6.2, 6.0 y anteriores no se ven afectadas por esta vulnerabilidad específica.

Dada la explotación activa, la aplicación de parches es la mitigación principal y no negociable. Para dispositivos que no puedan parchearse de inmediato, Fortinet recomienda implementar listas de control de acceso (ACL) estrictas para limitar el acceso a la interfaz de gestión únicamente a direcciones IP de confianza. Sin embargo, esta es una solución temporal, ya que la vulnerabilidad subyacente permanece. Los administradores de red también deben revisar los registros en busca de cualquier intento de autenticación sospechoso o creación inesperada de usuarios administrativos, particularmente desde direcciones IP de origen no familiares.

Implicaciones más amplias para la seguridad empresarial

La explotación activa de CVE-2024-21762 conlleva implicaciones significativas más allá de la necesidad inmediata de parchear. En primer lugar, subraya el riesgo extremo que plantean las vulnerabilidades en los dispositivos de seguridad con exposición a internet. Estos dispositivos están diseñados para ser la primera línea de defensa; cuando se comprometen, no solo fallan en su papel protector, sino que se convierten en herramientas poderosas para el atacante.

En segundo lugar, la localización de la falla en un protocolo de autenticación central como el SSO SAML es particularmente preocupante. SAML es confiable precisamente porque está diseñado para ser seguro y estandarizado. Una omisión a este nivel socava un mecanismo de confianza fundamental para innumerables empresas que dependen de la identidad federada para el acceso seguro.

Finalmente, este evento refuerza la importancia crítica de la velocidad en el ciclo de vida de la gestión de vulnerabilidades. La ventana entre la disponibilidad del parche y la explotación activa se está reduciendo drásticamente. Los equipos de seguridad deben priorizar la prueba y despliegue rápidos de parches para los dispositivos perimetrales, especialmente aquellos que manejan la autenticación. La gestión automatizada de parches y los sistemas robustos de inventario de activos ya no son solo mejores prácticas, sino componentes esenciales de una estrategia defensiva capaz de responder a amenazas de tan alta velocidad.

Mientras los actores de amenazas continúan escaneando y armando esta falla, la responsabilidad recae en los defensores de la red para actuar con urgencia. El compromiso de un firewall de red es un evento catastrófico que puede conducir a la filtración de datos, el despliegue de ransomware y una grave interrupción operativa. La acción inmediata para identificar, parchear y monitorizar los dispositivos Fortinet afectados es la única respuesta efectiva a este peligro real y presente.