ثغرة FortiGate التي عمرها خمس سنوات: كيف يسمح خطأ مطبعي بسيط للقراصنة بتجاوز المصادقة الثنائية

في عالم الأمن السيبراني، يمكن للجروح القديمة أن تتفاقم - وأحيانًا، كل ما يتطلبه الأمر هو حرف كبير في غير مكانه لفتحها على مصراعيها. هذا الأسبوع، أطلقت Fortinet جرس الإنذار: ثغرة عمرها خمس سنوات في FortiOS SSL VPN عادت إلى دائرة الاستهداف، حيث يستغل المهاجمون خللًا دقيقًا لكنه مدمر يسمح لهم بتجاوز المصادقة الثنائية (2FA) بالكامل.

جوهر المشكلة من الناحية التقنية بسيط بشكل خادع. الثغرة، التي تحمل الرقم CVE-2020-12812، تكمن في أجهزة FortiOS SSL VPN التي تم تفعيل المصادقة الثنائية فيها للمستخدمين المحليين المرتبطين بدلائل LDAP عن بُعد. أين المشكلة؟ عندما يسجل المستخدم الدخول باسم مستخدم لا يطابق تمامًا حالة الأحرف في الإدخال المحلي - مثل "JSmith" بدلاً من "jsmith" - يفشل FortiGate في التعرف عليه كحساب محلي. وبدلاً من ذلك، ينتقل لفحص سياسات مصادقة أخرى، بما في ذلك تلك التي تشير إلى LDAP. وبما أن LDAP نفسه لا يهتم بحالة الأحرف، يُمنح المستخدم حق الوصول - دون أن يُطلب منه عامل مصادقة ثانٍ.

هذا الخلل يعني أن المهاجمين الذين يعرفون أو يمكنهم تخمين أسماء المستخدمين وكلمات المرور الصحيحة يمكنهم الدخول كمسؤولين أو مستخدمي VPN، متجاوزين حماية 2FA التي تعتمد عليها المؤسسات. وقد أشارت الحكومة الأمريكية إلى هذه الثغرة تحديدًا كواحدة من المفضلة لدى الجهات المهددة التي تستهدف أجهزة الحماية الطرفية منذ عام 2021. وعلى الرغم من إصدار Fortinet تصحيحات وخطوات تخفيف في منتصف 2020، إلا أن أحدث تحذير للشركة يكشف أن العديد من الأنظمة لا تزال غير مصححة أو معدة بشكل خاطئ، مما يترك الباب مفتوحًا على مصراعيه للاستغلال.

الحل مباشر: التحديث إلى إصدار مصحح من FortiOS (6.0.10، 6.2.4، 6.4.1 أو أحدث)، أو - وهذا مهم - تشغيل أمر بسيط لتعطيل حساسية حالة الأحرف في أسماء المستخدمين. القيام بذلك يضمن أن "jsmith" و"JSMITH" يُعاملان كمتطابقين، مما يمنع التجاوز. كما توصي Fortinet بإزالة مجموعات LDAP الثانوية غير الضرورية من سياسات المصادقة لتقليل المخاطر أكثر.

ما هو غير واضح حتى الآن هو نطاق وتأثير موجة الهجمات الحالية. لم تكشف Fortinet عن تفاصيل حول الاختراقات الناجحة أو كيفية استغلال المهاجمين للثغرة فعليًا. وتحث الشركة أي مؤسسة تشتبه في وجود تسجيلات دخول غير مصرح بها على إعادة تعيين بيانات الاعتماد والتواصل مع الدعم فورًا.

الدرس واضح: في الأمن السيبراني، حتى أصغر تفاصيل الإعداد يمكن أن تتحول إلى كارثة إذا لم تتم مراقبتها. ومع بقاء أجهزة الحماية الطرفية أهدافًا مغرية للمهاجمين، يجب على المؤسسات ألا تكتفي فقط بتطبيق التصحيحات بسرعة، بل أن تدقق أيضًا في إعدادات المصادقة لديها - لأن أحيانًا، كل ما يتطلبه الأمر هو حرف كبير ليفتح الباب أمام المجرمين.

ويكيكروك

• 2FA (المصادقة الثنائية): تضيف المصادقة الثنائية خطوة تحقق ثانية، مثل رمز أو جهاز، إلى كلمة المرور الخاصة بك لتعزيز أمان الحساب.
• LDAP (بروتوكول الوصول الخفيف للدليل): LDAP هو بروتوكول للوصول إلى خدمات الدليل وإدارتها، ويُستخدم عادةً للمصادقة وإدارة المستخدمين المركزية في المؤسسات.
• SSL VPN (شبكة افتراضية خاصة بطبقة المقابس الآمنة): تتيح SSL VPN وصولًا آمنًا ومشفّرًا عن بُعد إلى الشبكات الداخلية باستخدام SSL أو TLS، عادةً عبر متصفح ويب دون الحاجة إلى برامج عميلة خاصة.
• حساسية حالة الأحرف: تعني حساسية حالة الأحرف أن الأنظمة تميز بين الحروف الكبيرة والصغيرة، مما يؤثر على كلمات المرور وأسماء المستخدمين ومعالجة البيانات الآمنة.
• جهاز الحماية الطرفية: جهاز الحماية الطرفية هو جهاز شبكي مثل الجدار الناري، يحمي الشبكات الداخلية من خلال تصفية والتحكم في حركة المرور الخارجية عند حدود الأمان.