CVE-2018-13382

Falha de controle de acesso (CWE-285, Improper Authorization) no portal web SSL VPN do FortiOS e do FortiProxy que permite a um atacante sem autenticação alterar a senha de um usuário local do SSL VPN enviando requisições HTTP manipuladas ao portal. O impacto é sequestro de conta: quem descobre ou adivinha um nome de usuário válido pode assumir o acesso VPN dessa conta sem nunca ter tido credencial. Está no catálogo KEV da CISA desde janeiro de 2022, com exploração confirmada em ambiente real, e costuma aparecer junto com outras falhas da mesma geração de VPN SSL Fortinet (2018-2019) em campanhas de comprometimento de rede.

A falha está no endpoint do portal web SSL VPN responsável pela funcionalidade de troca de senha de usuários locais. O fornecedor classifica como Improper Authorization (CWE-285): o processo que atende a requisição de mudança de senha não valida corretamente se quem está fazendo o pedido tem autorização sobre a conta-alvo — ou seja, não amarra a operação a uma sessão autenticada pertencente ao mesmo usuário cuja senha está sendo alterada.

Isso permite que um atacante, sem nenhuma sessão válida, monte uma requisição HTTP direcionada a esse endpoint especificando um usuário arbitrário e uma nova senha, e o serviço processa a troca como se fosse legítima. O atacante controla o identificador do usuário-alvo e o valor da nova senha; não precisa conhecer a senha antiga nem ter qualquer token de sessão válido.

O CVSS 9.1 (AV:N/AC:L/PR:N/UI:N/C:H/I:H/A:N) reflete exatamente esse perfil: rede, sem complexidade de ataque, sem privilégio, sem interação do usuário, com impacto alto em confidencialidade e integridade (a senha da vítima é substituída) e nenhum impacto direto em disponibilidade.

A descoberta é atribuída à equipe DEVCORE Security Research (Meh Chang e Orange Tsai), que também identificou outras falhas na mesma cadeia de SSL VPN da Fortinet daquele período — a mais conhecida sendo o path traversal que expõe credenciais (CVE-2018-13379). As duas costumam ser tratadas em conjunto por analistas porque, em muitos incidentes documentados publicamente, atacantes usaram uma para reconhecimento/coleta de nomes de usuário e a outra para tomada de conta.

Pré-requisito real é apenas acesso de rede à interface do portal web SSL VPN exposta (tipicamente HTTPS na porta de administração/VPN do equipamento) — nenhuma credencial, nenhuma configuração não padrão é necessária. O atacante não precisa de acesso autenticado nem de interação da vítima; a exploração é uma única requisição HTTP crafted contra o endpoint de troca de senha, o que torna a complexidade de ataque baixa e viável de automação/varredura em massa.

O efeito final é a substituição da senha de uma conta SSL VPN local escolhida pelo atacante. Como o serviço SSL VPN normalmente é o ponto de entrada remoto para a rede interna, esse account takeover costuma ser o primeiro passo de uma intrusão maior: o atacante troca a senha, autentica-se com a nova credencial no túnel VPN e ganha posição dentro da rede corporativa.

A CVE está no catálogo KEV da CISA desde 10/01/2022, o que confirma exploração ativa documentada por evidência governamental, e ela integra o conjunto de vulnerabilidades Fortinet SSL VPN de 2018-2019 que foi amplamente varrido e explorado por diversos atores após a divulgação pública — inclusive depois que listas de dispositivos vulneráveis vazaram publicamente. Não há confirmação, nas fontes consultadas aqui, de que esta CVE especificamente (isolada das demais da cadeia) tenha sido atribuída a campanhas de ransomware nomeadas; o campo correspondente no registro KEV não trouxe essa confirmação.

A correção do fornecedor é atualizar para uma versão do FortiOS ou FortiProxy fora da faixa afetada. Para FortiProxy, o advisory FG-IR-20-231 confirma: atualizar para 1.2.9 ou superior (corrige a linha 1.2.x), e para 2.0.1 ou superior (corrige a 2.0.0); a mesma lógica de branch se aplica às linhas 1.1.x e 1.0.x, mas o número exato do build de correção para essas linhas não foi confirmado nas fontes lidas neste levantamento — verificar a advisory oficial FG-IR-18-389 diretamente no fornecedor para o build exato antes de assumir que uma versão está corrigida.

Para FortiOS, a descrição oficial delimita a faixa vulnerável em 6.0.0–6.0.4, 5.6.0–5.6.8 e 5.4.1–5.4.10, o que indica que builds posteriores a cada uma dessas faixas endereçam a falha; no entanto, o número de build exato de correção não estava disponível no conteúdo da advisory que conseguimos ler nesta pesquisa — não deve ser inferido, deve ser confirmado na página FG-IR-18-389 do fornecedor.

Como controle compensatório quando a atualização não é imediata: restringir o acesso ao portal web SSL VPN a origens de rede confiáveis (não expor a interface de gerência/VPN irrestritamente à internet), monitorar e revisar contas com mudança de senha recente sem correlação a atividade legítima de suporte, e forçar re-autenticação/MFA em cima da camada VPN quando suportado, o que reduz o valor de uma senha comprometida isoladamente. Restringir por IP ou desativar temporariamente o portal web (mantendo apenas o cliente pesado, se aplicável) reduz a superfície, mas não corrige a falha subjacente — não substitui a atualização de versão.

Não há assinatura pública amplamente documentada e confirmada nas fontes consultadas para identificar tentativas de exploração desta CVE especificamente. Como indício indireto, vale revisar logs do portal web SSL VPN por requisições HTTP não autenticadas dirigidas a endpoints de troca de senha, e auditar mudanças de senha em contas SSL VPN locais que não correspondam a uma ação legítima do usuário ou do suporte — trocas de senha fora de padrão de uso, seguidas de login bem-sucedido a partir de IP não usual, são o sinal mais concreto de comprometimento via esta falha.