CVE-2022-40684

Falha de bypass de autenticação (CWE-288) na interface administrativa do FortiOS, FortiProxy e FortiSwitchManager que permite a um atacante não autenticado executar operações administrativas via requisições HTTP/HTTPS especialmente forjadas — incluindo criar contas admin e baixar a configuração do dispositivo. Importa porque afeta o plano de gestão de firewalls e proxies em produção, foi explorada em massa antes da divulgação pública e está no catálogo KEV da CISA com prazo de correção vencido desde 01/11/2022.

A vulnerabilidade é um bypass de autenticação por caminho ou canal alternativo (CWE-288): existe uma via de acesso à interface administrativa (GUI/API sobre HTTP ou HTTPS) que não passa pela verificação normal de sessão/credenciais, permitindo que requisições forjadas sejam tratadas como se originadas de um processo interno confiável. Fortinet não detalhou publicamente o mecanismo exato de exploração no advisory; a informação oficial se limita a 'requisições HTTP ou HTTPS especialmente forjadas' contra a interface administrativa.

O indicador mais concreto fornecido pelo próprio fornecedor é o campo de log 'user=Local_Process_Access' — isso sugere que a requisição maliciosa é processada com um contexto de usuário reservado a processos locais do próprio sistema, e não a um usuário autenticado via login normal, confirmando que o bypass abusa de um caminho interno da stack HTTP administrativa em vez de forçar credenciais.

O atacante controla o conteúdo da requisição HTTP/HTTPS enviada à porta de administração (GUI/API) — não há campo de entrada da aplicação de negócio envolvido, é diretamente contra o serviço administrativo do próprio equipamento. Não é necessário conhecimento de credenciais válidas nem de tokens de sessão.

Pré-requisito real e decisivo: a interface administrativa HTTP ou HTTPS precisa estar acessível na rede de onde o atacante ataca. Em ambientes onde a gestão está restrita a uma rede interna ou VPN, o ataque não chega ao dispositivo; em ambientes onde a porta administrativa (GUI/API, HTTP ou HTTPS) está exposta à internet — configuração relativamente comum em FortiGate/FortiProxy — a exploração é trivial e não exige autenticação alguma (AV:N/PR:N/UI:N no vetor CVSS confirma isso).

Fortinet confirmou explicitamente exploração ativa antes da divulgação: atacantes usaram a falha para baixar o arquivo de configuração do dispositivo e para criar uma conta administrativa maliciosa nomeada 'fortigate-tech-support' com perfil 'super_admin' no vdom root, obtendo controle administrativo persistente do equipamento. A CVE está no catálogo KEV da CISA desde 11/10/2022, existe módulo Metasploit, template Nuclei e PoC pública, o que tornou a exploração acessível a atacantes de baixa sofisticação pouco depois da divulgação.

O resultado final de uma exploração bem-sucedida é controle administrativo total do dispositivo (super_admin), o que na prática significa comprometimento do firewall/proxy inteiro: leitura de configuração, criação de contas de backdoor, e potencial pivô para a rede protegida por ele.

Correção definitiva é atualizar: FortiOS 7.2.0–7.2.1 para 7.2.2 ou superior; FortiOS 7.0.0–7.0.6 para 7.0.7 ou superior (nos modelos FG6000F e 7000E/F, Fortinet recomenda especificamente 7.0.5 build 8001 ou superior); FortiProxy 7.2.0 para 7.2.1 ou superior; FortiProxy 7.0.0–7.0.6 para 7.0.7 ou superior; FortiSwitchManager 7.2.0 para 7.2.1 ou superior; FortiSwitchManager 7.0.0 para 7.0.1 ou superior. Versões 6.4 e 6.2 do FortiOS e 2.0/1.2/1.1/1.0 do FortiProxy não são afetadas segundo o fornecedor.

Se a atualização imediata não for possível, o paliativo recomendado pelo próprio fornecedor é desabilitar o acesso administrativo via HTTP/HTTPS, ou restringir por IP: no FortiOS, criar objeto de endereço/grupo com os IPs de gestão autorizados e aplicar uma local-in-policy na interface de management liberando apenas HTTPS/HTTP desse grupo e negando todo o restante (atenção a interfaces de management reservadas em clusters HA, que exigem configuração de local-in-policy ligeiramente diferente). No FortiProxy (VM em geral, ou appliance 7.0.6), o equivalente é configurar 'trust-ip' na interface dedicada à gestão. Em FortiSwitchManager a única opção documentada é desabilitar a interface administrativa HTTP/HTTPS. O custo desse paliativo é perda de acesso administrativo remoto fora da lista permitida — não é uma correção, é redução de superfície de exposição enquanto a atualização não é aplicada.

O que não funciona como mitigação: apenas trocar senhas de administradores existentes não neutraliza a falha, já que o bypass não depende de credenciais — o atacante nunca precisou de senha válida para atingir a interface administrativa.

O indicador de comprometimento fornecido pelo próprio fornecedor é a entrada de log com o campo 'user=Local_Process_Access' nos logs do dispositivo — presença desse valor sugere que a interface administrativa processou uma requisição fora do fluxo normal de autenticação. Outro sinal direto é a existência de uma conta administrativa não reconhecida, em particular uma chamada 'fortigate-tech-support' com accprofile 'super_admin', criada sem ação de um administrador legítimo — Fortinet documentou esse nome como usado em ataques reais, mas atacantes que adaptaram a técnica depois da divulgação podem ter usado outros nomes de conta.

Como o mecanismo exato da requisição forjada não foi detalhado publicamente pelo fornecedor, não há uma assinatura de payload HTTP oficial e confiável para monitorar em nível de rede; a defesa mais confiável é auditoria de contas administrativas criadas fora de processo controlado e revisão de log com o indicador acima, combinada com verificação de downloads inesperados do arquivo de configuração do sistema.