Pesquisadores e o PSIRT da Fortinet relataram exploração ativa de uma falha antiga no FortiGate (CVE-2020-12812) que permite contornar autenticação multifator em cenários específicos de integração com LDAP. Administradores devem validar configuração e aplicar mitigações imediatamente.
O que mudou agora
Fortinet confirmou observações de abuso em ambiente real: atacantes estão explorando uma diferença no tratamento de maiúsculas/minúsculas entre usuários locais do FortiGate e diretórios LDAP (como Active Directory). Em dispositivos mal configurados, essa discrepância faz o FortiGate não reconhecer o usuário local e passar a validação para políticas secundárias ligadas a grupos LDAP — permitindo o acesso com credenciais LDAP válidas sem exigir o token de 2FA.
Vetor, pré‑requisitos e prova observada
A exploração requer um conjunto de condições específicas que Fortinet enumerou:
- existência de usuários locais no FortiGate com 2FA habilitado que também são membros de grupos LDAP;
- configuração de políticas que utilizam esses grupos LDAP para permitir acesso (por exemplo, SSL/IPsec VPN ou acesso administrativo);
- casos em que FortiGate trata nomes de usuário como case‑sensitive enquanto o LDAP não diferencia maiúsculas/minúsculas.
O ataque é trivial na cadeia de eventos: um atacante tenta logar com uma variação de maiúsculas no nome de usuário (por exemplo, “Jsmith” em vez de “jsmith”), o FortiGate falha em casar com o usuário local protegido por 2FA, e então aplica a política vinculada ao grupo LDAP — bastando, então, fornecer credenciais LDAP válidas para obter acesso sem token.
Evidências e limites
Fortinet publicou análise técnica no blog do PSIRT indicando que observou atividades de varredura e tentativas de autenticação nesse padrão. Não há, até o momento, dados públicos sobre número total de dispositivos comprometidos ou incidentes confirmados em fornecedores terceiros. Fortinet também destacou que, na ausência de grupos LDAP nas políticas, o bypass não ocorre.
Impacto e alcance
O vetor permite entrada em VPNs ou consoles administrativos sem 2FA quando as condições acima se aplicam — cenário de alto impacto operacional em infraestruturas corporativas. Embora a vulnerabilidade original seja de 2020 e tenha correções disponíveis, muitos dispositivos permanecem com configurações desatualizadas, o que amplia a superfície de ataque. O texto original recomenda considerar a possibilidade de movimento lateral ou uso posterior para implantação de ransomware caso credenciais e sessões sejam obtidas.
Mitigações recomendadas
Fortinet e analistas recomendam ações imediatas, em ordem de prioridade:
- Aplicar patches: atualizar para FortiOS 6.0.10, 6.2.4, 6.4.1 ou versões superiores que corrigem o comportamento de fallback.
- Desabilitar sensibilidade a maiúsculas em sistemas não atualizados, usando os comandos indicados pela fabricante: set username-case-sensitivity disable (em versões 6.0.10–6.0.12 etc.) ou set username-sensitivity disable (em v6.0.13+, v6.2.10+, v6.4.7+, v7.0.1+).
- Reduzir grupos LDAP utilizados em políticas: remover grupos secundários desnecessários que podem permitir fallback de autenticação.
- Auditar logs: procurar eventos onde há falha de casar com usuário local seguida de sucesso via LDAP (padrão indicativo de tentativa de bypass).
- Rotacionar credenciais: em caso de suspeita de abuso, redefinir credenciais locais e contas de binding LDAP/AD e investigar indicadores de comprometimento.
Recomendações operacionais
Além das correções técnicas, equipes de segurança devem priorizar inventário de dispositivos FortiGate expostos, testar políticas de autenticação em ambientes de homologação e aplicar monitoramento focado em tentativas de autenticação com variações de case. Se possível, isolar acessos administrativos por IP/utis e exigir métodos complementares de autenticação para consoles sensíveis.
O que não se sabe — e o que procurar
Não existem publicações com métricas consolidadas sobre número de dispositivos explorados ou incidentes relatados em fornecedores. Também faltam detalhes públicos sobre atores por trás das campanhas observadas. Equipes devem coletar e compartilhar indicadores (logs de autenticação, endereços de origem) com fornecedores e CSIRTs conforme aplicável.
"A ausência de grupos LDAP elimina o risco de bypass para usuários locais", afirma o aviso técnico da Fortinet.
Conclusão
A exploração ativa de CVE-2020-12812 demonstra como configurações legadas e drift de configuração ampliam risco, mesmo para falhas antigas. Administradores de redes que usam FortiGate e integração LDAP precisam agir agora: aplicar patches, revisar políticas e caçar sinais de autenticações anômalas para reduzir risco de acesso não autorizado.