CVE-2024-23113

Falha de format string (CWE-134) no daemon fgfmd do FortiOS, que implementa o protocolo FGFM usado na comunicação entre FortiGate e FortiManager. Um atacante remoto e não autenticado pode enviar requisições manipuladas e executar código ou comandos arbitrários no dispositivo. Afeta um leque grande de produtos Fortinet (FortiOS, FortiProxy, FortiPAM, FortiSwitchManager) e está no catálogo KEV da CISA com evidência de exploração ativa — apesar de o próprio advisory da Fortinet inicialmente ter marcado 'Known Exploited: No'.

A vulnerabilidade está no daemon fgfmd, responsável por processar o protocolo FGFM (FortiGate-to-FortiManager), usado para gerenciamento centralizado. O bug é uma string de formato externamente controlada: dados vindos de uma requisição de rede são passados como parte de uma string de formato (tipicamente para funções da família printf) sem sanitização, em vez de serem tratados como argumento de dado. Isso permite ao atacante controlar diretivas de formato (%s, %n, etc.) e, a partir daí, ler ou escrever memória do processo, levando a execução de código.

O ponto crítico é que o fgfmd escuta e processa pacotes recebidos via essa interface de gerenciamento antes de qualquer autenticação — daí a classificação AV:N/PR:N/UI:N no CVSS. A Fortinet descreve o achado como interno (relatado pela própria equipe de Product Security, Gwendal Guégniaud), não por pesquisador terceiro, embora o advisory registre que 'um relatório de terceiros indica possível exploração in-the-wild'.

O CVE cobre múltiplos produtos porque todos compartilham a mesma pilha fgfmd/FGFM: FortiOS, FortiProxy, FortiPAM e FortiSwitchManager. A entrada da CISA no KEV também cita FortiWeb como afetado, o que não consta no advisory oficial FG-IR-24-029 lido — divergência que vale registrar: trate a lista da CISA com cautela nesse ponto específico e priorize a tabela do fornecedor para decisão de patch.

O vetor de exploração é rede: pacotes especialmente criados enviados à interface onde o serviço FGFM está habilitado (allowaccess fgfm na interface). Não é necessária autenticação prévia nem interação do usuário — a superfície de ataque é a própria porta de gerenciamento FGFM exposta. Isso torna o vetor especialmente perigoso em dispositivos com a interface de gerenciamento acessível pela internet ou por uma rede não segmentada.

A Fortinet classifica o tipo de ataque como 'Unauthenticated' e o CVSS (AC:L, sem privilégios, sem interação do usuário) reflete baixa complexidade de exploração assumindo que o atacante alcance a porta do serviço. O resultado final documentado pelo fornecedor e pela CISA é execução de código ou comandos arbitrários no dispositivo — controle total do FortiGate/FortiProxy/FortiPAM/FortiSwitchManager afetado.

A CISA incluiu o CVE no catálogo KEV em 09/10/2024, com prazo de correção até 30/10/2024, evidência de exploração confirmada em ambientes reais — o próprio advisory da Fortinet foi atualizado em 11/10/2024 para registrar 'Potentially exploited in the wild'. Não há PoC técnico detalhado nas fontes lidas aqui; a existência de PoC pública é citada nos metadados fornecidos, mas o mecanismo exato de disparo da falha de formato não foi publicado nas fontes consultadas.

Correção definitiva é atualizar para as versões corrigidas por linha: FortiOS 7.4.3+, 7.2.7+, 7.0.14+; FortiProxy 7.4.3+, 7.2.9+, 7.0.16+; FortiSwitchManager 7.2.4+ e 7.0.4+. FortiPAM 1.0.x, 1.1.x e 1.2.x são todos vulneráveis sem patch — a Fortinet recomenda migrar para uma release corrigida (FortiPAM 1.3 não é afetado). FortiOS 6.x não é afetado.

Se a atualização imediata não for possível, o workaround publicado pela Fortinet é remover 'fgfm' da lista de allowaccess de cada interface (config system interface / set allowaccess ...), eliminando o serviço FGFM exposto naquela interface — isso impede que o FortiManager descubra o FortiGate automaticamente, mas a conexão ainda pode ser iniciada pelo FortiGate. Uma local-in policy restringindo o FGFM a IPs específicos reduz a superfície de ataque, mas o próprio fornecedor avisa explicitamente que isso NÃO impede a exploração a partir do IP permitido — não deve ser tratado como mitigação completa, apenas redução de exposição.

Não há mitigação via WAF documentada nas fontes, já que o vetor é o protocolo de gerenciamento FGFM e não HTTP/HTTPS de aplicação web padrão. O controle real é reduzir/eliminar a exposição da interface de gerenciamento à rede não confiável até a atualização.

As fontes consultadas não trazem indicadores de compromisso, assinaturas de tráfego ou padrões de log específicos publicados pela Fortinet ou pela CISA para esta CVE. O vetor conhecido é o daemon fgfmd via protocolo FGFM (comunicação FortiGate–FortiManager); monitorar tentativas de conexão FGFM originadas de IPs não pertencentes à infraestrutura de gerenciamento legítima é um indício genérico de abuso da superfície, mas não há assinatura de exploração confirmada documentada nas fontes lidas. Ausência de sinal confiável publicado é, em si, informação relevante: dispositivos sem log de gerenciamento FGFM detalhado dificilmente permitirão retro-detecção de exploração passada.