CVE-2022-42475
Priorize a correção. Ela está sob exploração confirmada pelo CISA, tem prova de conceito pública e 1 grupo(s) de ameaça a utilizam.
Grupos conhecidos por explorar esta vulnerabilidade (atribuição MITRE ATT&CK).
Apply updates per vendor instructions.
Resumo
Buffer overflow baseado em heap no daemon sslvpnd do FortiOS e FortiProxy, explorável remotamente e sem autenticação por meio de requisições HTTP manipuladas ao portal SSL-VPN. A Fortinet confirmou exploração ativa antes mesmo da divulgação pública do advisory, e a CISA classifica a falha como associada a campanhas de ransomware. O CVSS 9.3 aqui reflete o risco real: não exige credencial, configuração exótica nem interação do usuário — só que o SSL-VPN esteja habilitado e exposto.
Detalhamento técnico
A falha é um heap-based buffer overflow (CWE-122) no processo sslvpnd, o daemon que trata as conexões do portal SSL-VPN do FortiOS/FortiProxy. O parsing de requisições HTTP recebidas por esse processo permite que um atacante controle dados que sobrescrevem regiões do heap além do buffer alocado, corrompendo estruturas internas do processo.
O Fortinet não publicou detalhes de qual campo ou rota específica da requisição dispara o overflow — o advisory fala em 'requisições especificamente forjadas' sem detalhar a rota HTTP ou parâmetro vulnerável. Isso é relevante para quem tenta reproduzir a análise: a mecânica exata do parsing defeituoso não é pública pela Fortinet, embora pesquisadores externos e PoCs tenham reconstruído o fluxo a partir de engenharia reversa do binário.
O impacto documentado é execução de código ou comandos arbitrários no contexto do processo sslvpnd, que roda com privilégios elevados no appliance — o que na prática significa comprometimento total do FortiGate/FortiProxy, não apenas do serviço VPN.
Como é explorada
O vetor é uma requisição HTTP(S) enviada diretamente à interface SSL-VPN exposta (a porta configurada para o portal, tipicamente 443 ou uma porta customizada), sem necessidade de autenticação prévia, interação do usuário ou configuração não padrão além de ter o SSL-VPN habilitado. Isso torna a superfície de ataque qualquer FortiGate/FortiProxy com SSL-VPN ativado e alcançável pela rede — inclusive pela internet, cenário comum em VPNs corporativas.
A Fortinet confirmou que a vulnerabilidade foi explorada in the wild antes da divulgação pública, com atacantes usando a falha para obter execução de código no appliance e, a partir daí, persistência na rede da vítima. A CISA marca a CVE como usada em campanhas de ransomware, o que eleva a prioridade de correção mesmo sem detalhes públicos de qual grupo específico.
Existem PoCs públicos e a exploração já foi automatizada por operadores de ameaça — não é uma falha teórica. Uma vez explorada, o atacante obtém execução de código no contexto do daemon sslvpnd, que roda com privilégios altos no sistema operacional embarcado do appliance, permitindo modificação de configuração, criação de contas, e pivotagem para a rede interna.
Versões
Como se proteger
A correção definitiva é atualizar para as versões corrigidas por branch (ver versions_fixed). Não há patch parcial ou flag de mitigação que neutralize a falha sem atualizar o firmware — o único paliativo real, segundo o próprio fornecedor, é desabilitar o SSL-VPN completamente até a atualização, o que interrompe o serviço para todos os usuários remotos que dependem dele.
Após atualizar (ou mesmo antes, como triagem), é obrigatório verificar indicadores de comprometimento: a atualização de versão não remove backdoors ou implantes deixados por uma exploração anterior. A Fortinet publicou IOCs específicos (arquivos no filesystem, entradas de log de crash, IPs de C2) — presença de qualquer um deles indica que o sistema já foi comprometido e precisa de resposta a incidente, não apenas patch.
Mito a descartar: apenas restringir o SSL-VPN a IPs de confiança reduz a superfície, mas não elimina o risco se esses IPs também puderem ser abusados ou se a política de acesso não for estritamente enforced — o advisory recomenda desabilitar o serviço como workaround, não apenas filtrar origem.
Como detectar
A Fortinet publicou IOCs concretos: múltiplas entradas de log com 'Application crashed', msg citando 'application:sslvpnd' e 'Signal 11 received' com backtrace — sinal de tentativa de exploração que crashou o processo antes de obter execução estável. No filesystem, presença de artefatos como /data/lib/libips.bak, /data/lib/libgif.so, /data/lib/libiptcp.so, /data/lib/libipudp.so, /data/lib/libjepg.so, /var/.sslvpnconfigbk, /data/etc/wxd.conf ou a pasta /flash indica comprometimento já efetivado, não apenas tentativa. Conexões de saída do FortiGate para os IPs listados no advisory (ex.: 188.34.130.40, 103.131.189.143, 193.36.119.61, entre outros) são indicativos de C2 pós-exploração.
Não há assinatura de rede genérica publicada para detectar a requisição de exploração em si antes do crash — a detecção prática depende dos IOCs pós-comprometimento acima, o que significa que ambientes sem esses artefatos não têm garantia de que não foram alvo de tentativa, apenas de que não há evidência de sucesso.