CVE-2018-13379

Vulnerabilidade de path traversal (CWE-22) no portal web do SSL VPN do FortiOS e FortiProxy que permite a um atacante não autenticado baixar arquivos arbitrários do sistema via requisição HTTP manipulada. Importa porque um dos arquivos acessíveis armazena sessões SSL VPN ativas com nomes de usuário e senhas em texto claro, transformando um simples download de arquivo em roubo de credenciais válidas de VPN corporativa — sem exigir nenhuma autenticação prévia.

A falha está no portal web do SSL VPN (componente SSL-VPN do FortiOS/FortiProxy). O endpoint de recurso de idioma do portal aceita um parâmetro que referencia arquivos de linguagem, e esse parâmetro não sanitiza corretamente sequências de travessia de diretório antes de resolver o caminho no sistema de arquivos. Um atacante controla esse parâmetro e consegue escapar do diretório restrito, alcançando caminhos absolutos do sistema.

O impacto prático concentra-se em um arquivo específico do banco de configuração (cmdb) que mantém as sessões SSL VPN correntes — esse arquivo grava, em texto claro, o par usuário/senha de cada sessão ativa no momento da captura. Não há escrita nem execução de código nessa falha isolada (o vetor CVSS reflete C:H/I:N/A:H — mas o 'A:H' de disponibilidade aparece associado ao FG-IR-18-384 por decisões posteriores de scoring, e não a um mecanismo de negação de serviço direto observado na falha de leitura em si); o ganho do atacante é confidencialidade: leitura de arquivo fora do escopo pretendido.

Vale registrar que o mesmo CVE-2018-13379 aparece em dois advisories distintos do fornecedor, publicados em datas muito diferentes: FG-IR-18-384 (o original, cobrindo FortiOS) e FG-IR-20-233, publicado só em junho de 2021, descrevendo essencialmente o mesmo mecanismo de leitura via requisição ao recurso de idioma, mas no portal SSL VPN do FortiProxy. Isso explica por que a lista de versões afetadas mistura FortiOS e FortiProxy sob um único identificador.

O vetor é uma única requisição HTTP não autenticada ao portal SSL VPN, sem necessidade de sessão, cookie válido ou qualquer interação do administrador. O atacante só precisa de acesso de rede à interface do portal SSL VPN (geralmente exposta na internet por design, já que é o ponto de entrada de VPN remota) e manipula o parâmetro do recurso de idioma com sequências de travessia para apontar ao arquivo de sessões do sistema. Complexidade de exploração é baixa — é por isso que existem módulo Metasploit, template Nuclei e PoCs públicas amplamente disseminadas.

Na prática documentada, grupos de ransomware e atores de espionagem usaram essa falha como vetor de acesso inicial: extraem credenciais de sessões VPN ativas do arquivo exposto e depois usam esses usuário/senha válidos para autenticar normalmente na VPN, contornando qualquer controle de borda. Em 2021, uma lista com milhares de endereços IP de dispositivos Fortinet supostamente vulneráveis, junto com credenciais extraídas por esse método, foi divulgada publicamente em fóruns — o que impulsionou a inclusão formal no catálogo KEV da CISA.

A CISA confirma exploração ativa (está no KEV desde 2021-11-03, com prazo de correção fixado em 2022-05-03) e associa a falha a campanhas de acesso inicial usadas por múltiplos grupos, incluindo atividade ligada a ransomware. Não é necessário conhecimento privilegiado do ambiente-alvo: a técnica funciona contra qualquer instância exposta e não corrigida, e o atacante não precisa saber de antemão se há sessões ativas — ele simplesmente tenta ler o arquivo e verifica o conteúdo retornado.

A correção definitiva é atualizar para uma versão do FortiOS ou FortiProxy fora das faixas afetadas. Para FortiProxy, o fornecedor especifica explicitamente as versões corrigidas: 1.2.9 ou superior (para a linha 1.2.x) e 2.0.1 ou superior (para a linha 2.0.x); para as linhas 1.1.x e 1.0.x o advisório lista as versões afetadas (1.1.6 e anteriores, 1.0.7 e anteriores) sem indicar explicitamente na fonte consultada o número exato da versão corrigida — convém confirmar diretamente no advisory FG-IR-20-233 atualizado. Para FortiOS, a descrição oficial define as faixas afetadas (6.0.0–6.0.4, 5.6.3–5.6.7, 5.4.6–5.4.12), mas as versões de correção exatas não constam nas fontes consultadas aqui; devem ser verificadas no advisório original FG-IR-18-384 antes de qualquer decisão de patch.

Mesmo depois de aplicar a atualização, uma credencial de VPN capturada antes do patch continua válida até ser trocada — atualizar a versão não invalida sessões nem senhas já expostas. Qualquer dispositivo que tenha ficado exposto e sem patch durante a janela de divulgação pública (2019 em diante, com pico de exploração em 2020–2021) deve ser tratado como potencialmente comprometido: forçar reset de todas as credenciais de usuários VPN, revisar logs de autenticação por acessos anômalos e, idealmente, habilitar autenticação multifator no SSL VPN como controle compensatório contra reuso de credenciais roubadas.

Desabilitar temporariamente o portal web do SSL VPN (deixando apenas o cliente nativo, se a arquitetura permitir) reduz a superfície enquanto o patch não é aplicado, mas não é substituto da atualização — o mecanismo de path traversal está no componente do portal, não em uma configuração opcional que se possa simplesmente desligar sem perda de funcionalidade de acesso remoto.

Nos logs de acesso web do dispositivo, procurar requisições ao endpoint de recurso de idioma do portal SSL VPN contendo sequências de travessia de diretório (padrões repetidos de subida de diretório) no parâmetro de idioma, especialmente vindas de IPs sem sessão VPN previamente estabelecida — a ausência de autenticação prévia é o sinal mais distintivo, já que esse endpoint normalmente é acessado apenas como parte do carregamento legítimo da página de login. Também vale revisar logs de autenticação SSL VPN por logins bem-sucedidos com credenciais que não correspondem a padrões de uso normal do usuário (horário atípico, geolocalização inconsistente, ausência de MFA quando exigido) — indício de reuso de credencial extraída via essa falha.

Como a exploração é uma simples requisição HTTP GET que pode se misturar a tráfego legítimo de portal e como grande parte dos ataques ocorreu anos atrás (2019–2021) sem log retido até hoje na maioria dos ambientes, a ausência de evidência nos logs atuais não é garantia de que o dispositivo nunca foi explorado — se a versão só foi corrigida tardiamente, tratar como comprovadamente exposto durante a janela vulnerável é a postura mais segura.