FortiOS SSL-VPN 零日漏洞攻击概述及解决方案

引言

最近，多个针对政府组织及相关目标的攻击事件揭示了 FortiOS SSL-VPN 的零日漏洞。这些漏洞在上个月已被 Fortinet 修复，但仍然被未知攻击者利用，导致远程代码执行和设备崩溃。

漏洞详情

漏洞描述

在这些攻击事件中，攻击者利用了一个被称为 CVE-2022-42475 的安全缺陷，该缺陷源于 FortiOS SSLVPNd 应用程序中的堆缓冲区溢出。该漏洞允许攻击者获得远程代码执行权限，从而远程崩溃目标设备。

修复措施

网络安全公司在11月28日悄然发布了软件的新版本（7.2.3），以修复该漏洞。12月中旬，该公司呼吁客户下载并安装该补丁，以保护自己免受正在进行的利用该漏洞的攻击。

受影响的产品

以下是受漏洞影响的产品完整列表：

• FortiOS 版本 7.2.0 至 7.2.2
• FortiOS 版本 7.0.0 至 7.0.8
• FortiOS 版本 6.4.0 至 6.4.10
• FortiOS 版本 6.2.0 至 6.2.11
• FortiOS 版本 6.0.0 至 6.0.15
• FortiOS 版本 5.6.0 至 5.6.14
• FortiOS 版本 5.4.0 至 5.4.13
• FortiOS 版本 5.2.0 至 5.2.15
• FortiOS 版本 5.0.0 至 5.0.14
• FortiOS-6K7K 版本 7.0.0 至 7.0.7
• FortiProxy 版本 7.2.0 至 7.2.1
• FortiProxy 版本 7.0.0 至 7.0.7

攻击者的目标

针对政府网络的攻击

调查显示，攻击者的攻击高度针对性，主要目标是政府网络。分析发现，攻击者构建的 Windows 样本显示出在 UTC+8 时区的计算机上构建的迹象，这一时区包括澳大利亚、中国、俄罗斯、新加坡及其他东亚国家。

隐蔽性攻击手段

为了实现对网络的长期访问，恶意行为者专注于避免被检测。他们利用漏洞安装了恶意软件，修改 FortiOS 日志记录过程，以删除特定日志或完全停止日志记录，从而掩盖其活动。

解决方案

更新建议

Fortinet 建议用户采取以下措施以保护系统：

• 升级到 FortiOS 版本 7.2.3 或更高版本
• 升级到 FortiOS 版本 7.0.9 或更高版本
• 升级到 FortiOS 版本 6.4.11 或更高版本
• 升级到 FortiOS 版本 6.2.12 或更高版本
• 升级到 FortiOS 版本 6.0.16 或更高版本
• 升级到 FortiOS-6K7K 版本 7.0.8 或更高版本
• 升级到 FortiProxy 版本 7.2.2 或更高版本

应急措施

在补丁未能及时应用的情况下，用户应禁用 SSL-VPN 以保护系统免受攻击尝试。

结论

随着网络攻击的不断演变，保持软件更新和及时应用补丁至关重要。Fortinet 强烈建议其客户确保 FortiOS 安装保持最新，并在发现与攻击相关的任何 IOC 时联系支持团队。

---

希望这篇文章能为您提供有关 FortiOS SSL-VPN 漏洞的全面了解及相应解决方案的指导。