Siber güvenlik dünyası yeni bir riskle karşı karşıya kaldı. İnternet güvenliğini izleyen Shadowserver, FortiCloud SSO özelliği açık olan çok sayıda Fortinet cihazının dışarıdan erişime açık durumda bulunduğunu açıkladı. Uzmanlar, devam eden saldırılar nedeniyle kurumların acil önlem alması gerektiğini vurguluyor.
FortiCloud SSO Açığı Aktif Saldırılarda Kullanılıyor
Fortinet, söz konusu güvenlik açığını aralık ayında yamadığını duyurdu. Şirket, kimlik doğrulamayı atlatmaya imkân tanıyan bu zafiyetin yalnızca FortiCloud SSO özelliği aktif olan cihazları etkilediğini belirtti. Buna rağmen çok sayıda sistemin internet üzerinden erişilebilir durumda olduğu ortaya çıktı.
Siber güvenlik şirketi Arctic Wolf, saldırganların bu açığı aktif biçimde Fortinet. Araştırmacılar, kötü amaçlı SSO oturumları üzerinden yönetici hesaplarının ele geçirildiğini tespit etti. Saldırganlar, özel olarak hazırlanmış SAML mesajlarıyla web tabanlı yönetim arayüzüne tam yetkiyle erişim sağlıyor.
Elde edilen yetkiler sayesinde sistem yapılandırma dosyaları indiriliyor. Bu dosyalar, ağ yapısı bilgilerini, güvenlik duvarı kurallarını, internet erişimine açık servisleri ve şifrelenmiş parolaları açığa çıkarıyor. Uzmanlar, bu bilgilerin daha kapsamlı saldırılara zemin hazırladığını ifade ediyor.
Shadowserver, FortiCloud SSO parmak izi taşıyan 25.000’den fazla IP adresini izlediğini açıkladı. Araştırma, ABD’de 5.400’den fazla cihazın risk altında bulunduğunu gösterdi. Hindistan’da ise yaklaşık 2.000 sistemin aynı durumda olduğu belirtildi.
Macnica bünyesinde çalışan tehdit araştırmacısı Yutaka Sejiyama, yaptığı taramalarda 30.000’den fazla Fortinet cihazına ulaştığını aktardı. Sejiyama, bu cihazların yönetim arayüzlerinin internet üzerinden erişilebilir olmasının ciddi bir güvenlik açığı oluşturduğunu dile getirdi.
ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı, söz konusu açığı aktif olarak kullanılan zafiyetler listesine ekledi. Kurum, federal kuruluşlara bir hafta içinde gerekli yamaların uygulanması talimatını verdi. Bu karar, tehdidin ciddiyetini ortaya koydu.
Fortinet ürünleri, geçmişte de siber casusluk ve fidye yazılımı gruplarının hedefi oldu. Şirket, yakın dönemde FortiWeb ürününü etkileyen başka bir sıfır gün açığının da gerçek saldırılarda kullanıldığını doğruladı. Güvenlik uzmanları, kurumların yönetim arayüzlerini internetten izole etmesini ve güncellemeleri gecikmeden uygulamasını öneriyor.
