- Cosa può fare
- L'attaccante entra nel firewall come amministratore, crea account locali (con nomi come 'audit', 'backup', 'support'), modifica la configurazione e apre accessi VPN per sé.
- Cosa mette in pericolo
- Il firewall perimetrale e la VPN, quindi l'intera rete aziendale: accessi abusivi persistenti, furto di dati, preparazione di attacchi ransomware.
- Chi è colpito
- FortiOS 7.6.0-7.6.5, 7.4.0-7.4.10, 7.2.0-7.2.12, 7.0.0-7.0.18; anche FortiManager, FortiAnalyzer, FortiProxy, FortiWeb, FortiSwitchManager e FortiNAC-F 7.6, se è attivo il login amministrativo tramite FortiCloud SSO
Cosa fare
- Aggiornare FortiOS a 7.6.6, 7.4.11, 7.2.13 o 7.0.19 (o successive) e gli altri prodotti Fortinet alle versioni indicate in FG-IR-26-060
- Se non serve, disattivare il login amministrativo via FortiCloud SSO (set admin-forticloud-sso-login disable)
- Controllare tutti gli account amministratore e VPN, eliminando quelli sconosciuti, e verificare le modifiche di configurazione recenti
- Non esporre l'interfaccia di amministrazione del firewall su internet