CVE-2022-41328

Falha de path traversal (CWE-22) no processamento de comandos CLI do FortiOS, que permite a um atacante já autenticado com privilégios administrativos ler e escrever arquivos arbitrários no sistema Linux subjacente ao dispositivo. O CVSS 6.5 reflete corretamente que não é uma falha de acesso remoto não autenticado — o vetor exige AV:L e PR:H, ou seja, alguém que já tem uma sessão administrativa no equipamento. Está no catálogo KEV da CISA, confirmando exploração ativa, mas o pré-requisito de privilégio admin limita o cenário de ataque a comprometimento pós-acesso ou abuso por insider/administrador malicioso.

A vulnerabilidade está no parser de comandos da CLI do FortiOS. Determinados comandos administrativos aceitam parâmetros de caminho de arquivo que não são adequadamente sanitizados contra sequências de travessia de diretório (como '../'), permitindo que o valor informado escape do diretório restrito ao qual o comando deveria estar confinado. O FortiOS roda sobre um kernel Linux customizado, e a CLI normalmente abstrai o sistema de arquivos subjacente — essa falha rompe esse isolamento.

O atacante controla o argumento de caminho passado a comandos CLI específicos (o advisory da Fortinet não detalha quais comandos exatamente, apenas que são 'crafted CLI commands'). Com a validação de caminho ausente ou insuficiente, é possível referenciar arquivos fora da árvore de diretórios pretendida, tanto para leitura quanto para escrita.

O impacto de confidencialidade, integridade e disponibilidade é classificado como alto (C:H/I:H/A:H) porque escrita arbitrária de arquivo no sistema subjacente pode levar a persistência, alteração de configuração de baixo nível ou corrupção do sistema operacional que sustenta o FortiOS.

O pré-requisito real é acesso administrativo autenticado à CLI do FortiOS (PR:H) — a Fortinet classifica o tipo de ataque como 'Authenticated'. Isso muda o perfil de risco: não é uma falha explorável por um atacante externo sem credenciais. Os cenários plausíveis são um administrador malicioso, uma sessão administrativa comprometida por outra vulnerabilidade ou phishing/roubo de credencial, ou um atacante que já obteve acesso admin via outra falha na cadeia de comprometimento e usa esta para elevar o controle do CLI restrito ao sistema Linux subjacente completo.

A complexidade de exploração é baixa (AC:L) uma vez satisfeito o pré-requisito de privilégio — não exige interação de outro usuário (UI:N) nem condições de timing complexas. O resultado final é leitura e escrita de arquivos fora do escopo pretendido pela CLI, o que pode ser usado para extrair segredos do sistema, plantar arquivos de persistência ou modificar componentes do sistema operacional.

A presença no catálogo KEV da CISA confirma exploração no mundo real, mas a CISA não detalha o vetor de acesso inicial usado pelos atacantes observados nem associa a falha a campanhas de ransomware conhecidas ('Known To Be Used in Ransomware Campaigns: Unknown'). Isso sugere que a exploração observada provavelmente ocorreu em conjunto com outra técnica de obtenção de credenciais administrativas, e não como vetor isolado de acesso inicial.

A correção definitiva é atualizar o FortiOS. A Fortinet trata esta falha em cinco ramos de versão distintos, cada um com seu próprio patch — não existe uma única versão 'final' que resolva tudo, é preciso verificar em qual ramo o dispositivo está.

Como o pré-requisito é acesso administrativo, o controle compensatório mais eficaz enquanto o patch não é aplicado é reduzir e monitorar rigorosamente quem tem credenciais administrativas na CLI: MFA obrigatório para contas admin, restrição de acesso à interface de gerenciamento por IP/VLAN dedicada, e desativação de acesso administrativo via WAN quando não for estritamente necessário. Isso não elimina a falha, mas reduz a superfície de quem pode chegar ao pré-requisito de exploração.

Não existe mitigação via WAF ou filtro de rede aplicável aqui, porque a exploração ocorre inteiramente dentro de uma sessão CLI administrativa já estabelecida — não há payload de rede para inspecionar. Restringir acesso administrativo não é substituto do patch: um admin comprometido ainda consegue explorar a falha dentro dos limites de sua sessão legítima.

Não há um sinal de rede confiável para detectar exploração, já que o ataque ocorre inteiramente via comandos CLI dentro de uma sessão administrativa já autenticada — não há tráfego HTTP ou payload de rede distintivo para assinatura de IDS/WAF. A detecção prática depende de auditoria de logs de comandos CLI administrativos (event log do FortiOS) buscando comandos anômalos com parâmetros de caminho contendo sequências de travessia de diretório, e de monitoramento de integridade de arquivos no sistema subjacente para identificar escrita ou leitura fora dos diretórios esperados pela sessão administrativa. Correlacionar login administrativo fora do padrão (horário, origem, conta) com atividade CLI subsequente é o indicador indireto mais útil disponível.