网络安全公司 Fortinet 日前披露了自家软件产品 FortiManager 存在的一个关键零日漏洞，能够允许未经身份验证的远程攻击者通过特制请求执行任意代码或命令。目前该漏洞已在野外被积极利用。
根据 Fortinet 10月23日发布的报告，该漏洞被追踪为CVE-2024-47575，CVSS v3 评分高达9.8，对多个版本的 FortiManager 以及 FortiManager Cloud 都有影响。该公司已经发布了一个补丁，并列出了用户可以采用的几种解决方法。
报告表明，该漏洞已被利用以自动从 FortiManager 中泄露敏感文件，包括 IP 地址、凭证和托管设备配置，但目前尚未收到在受感染的 FortiManager 系统上安装任何恶意软件或后门的低级系统报告。
参与此漏洞调查的Mandiant表示，一个新的威胁组织UNC5820早在 2024 年 6 月 27 日就利用了 FortiManager 漏洞，泄露并暂存了FortiManager 管理的 FortiGate 设备配置数据，其中包含受托管设备的详细配置信息以及用户的 FortiOS256 加密密码，这些数据可能被 UNC5820 用来进一步破坏 FortiManager，并在企业环境中横向移动。
目前Mandiant无法确定利用漏洞的攻击者身份及其最终目的，因此提醒任何 FortiManager 暴露在互联网上的组织都应立即进行取证调查。
受影响的版本和缓解措施
该漏洞影响 FortiManager 和 FortiManager Cloud 的多个版本：
- FortiManager：版本 7.6.0、7.4.0 到 7.4.4、7.2.0 到 7.2.7、7.0.0 到 7.0.12 以及 6.4.0 到 6.4.14。
- FortiManager Cloud：版本 7.4.1 到 7.4.4、7.2（所有版本）和 7.0（所有版本）。
Fortinet 已经发布了这些版本的补丁，并敦促用户立即升级到安全版本。此外，某些版本还提供了解决方法，包括阻止未知设备注册和使用自定义证书进行身份验证。
Fortinet 建议立即采取措施保护受影响的系统：
- 升级：安装 FortiManager 的最新补丁，如果使用 FortiManager Cloud，请迁移到固定版本。
- 查看配置：通过将配置与 IoC 检测之前获取的备份进行比较，确保配置未被篡改。
- 更改凭证：更新所有托管设备的密码和用户敏感数据。
- 隔离受感染的系统：将受感染的 FortiManager 系统与互联网隔离，并将其配置为离线模式，以便与新设置进行比较。
