5 İllik Ciddi Qüsur: 10.000-dən Çox Fortinet Firewall SSL VPN-də MFA Yan Keçmə Təhlükəsi Altındadır

Kiber təhlükəsizlik dünyası köhnə, lakin unudulmayan zəifliklərin yaratdığı davamlı riskləri bir daha xatırladır. Mütəxəssis qurumlar tərəfindən aparılan son monitorinqlər göstərir ki, beş ildən çox əvvəl ictimaiyyətə açıqlanan Fortinet FortiOS-a aid bir zəiflik hələ də qlobal miqyasda on minlərlə müəssisə şəbəkəsini təhdid etməkdədir.

Shadowserver Fondunun son hesabatına görə, dünya üzrə 10.000-dən çox Fortinet firewall cihazı hələ də CVE-2020-12812 kimi tanınan Çoxfaktorlu İdentifikasiyanı (MFA) yan keçmə qüsuruna qarşı müdafiəsiz vəziyyətdədir. Bu zəifliyin yaşı yarım onilliyi keçməsinə baxmayaraq, aktiv istismar halları Fortinet tərəfindən 2025-ci ilin sonlarında təsdiqlənmişdir. Təşkilatlar üçün kritik infrastrukturda belə köhnə zəifliklərin qalıcılığı ciddi təhlükəsizlik boşluğunu ifadə edir.

Texniki Detallar və İstismar Mexanizmi

CVE-2020-12812 zəifliyi FortiOS SSL VPN portallarında düzgün olmayan identifikasiya (improper authentication) nəticəsində yaranır. Zəiflik FortiOS-un 6.4.0, 6.2.0-dan 6.2.3-ə qədər olan versiyalarını, həmçinin 6.0.9 və daha köhnə versiyaları əhatə edir. Qüsurun əsas səbəbi FortiGate-in yerli istifadəçi adlarına həssas yanaşması ilə LDAP serverlərinin (məsələn, Active Directory) adlara həssas yanaşmaması arasındakı uyğunsuzluqdan qaynaqlanır.

Hücumçular bu zəifliyi istifadə edərək ikinci identifikasiya faktorunu (tipik olaraq FortiToken) yan keçə bilirlər. Bu proses istifadəçi adı daxil edilərkən sadəcə olaraq hərflərin böyüdülməsi və ya kiçildilməsi yolu ilə həyata keçirilir. Məsələn, hücumçu “user” əvəzinə “User” daxil edərək sistemə daxil olur. Əgər istifadəçi hesabları LDAP qruplarına bağlıdırsa, bu dəyişiklik FortiGate tərəfindən MFA tələb olunmadan qrup üzvlüyü vasitəsilə identifikasiyanın baş tutmasına şərait yaradır.

Zəifliyin CVSS v3.1 baza skoru 7.5 (Yüksək) olaraq qiymətləndirilir. Bu, şəbəkə üzərindən əlçatanlığı, aşağı mürəkkəblik dərəcəsini və məxfiliyə, bütövlüyə və əlçatanlığa təsir potensialını nəzərə alır. Qeyd edək ki, bu qüsur hələ 2021-ci ildə CISA-nın Məlum İstismar Edilən Zəifliklər (Known Exploited Vulnerabilities – KEV) kataloquna daxil edilmişdi, çünki ondan fidyə proqramları (ransomware) aktyorları tərəfindən aktiv şəkildə istifadə olunurdu.

Təhlükənin Qlobal Miqyası

Fortinet, 2025-ci ilin dekabrında yaydığı PSIRT məlumatında (FG-IR-19-283 yeniləməsi) zəifliyin aktiv istismarı barədə xəbərdarlıq edərək, təhdid aktyorlarının icazəsiz daxili şəbəkə girişi əldə etdiyini bildirmişdir. Bu istismar xüsusilə hibrid (yerli FortiGate istifadəçiləri + LDAP) konfiqurasiyaları hədəf alır.

Shadowserver Fondunun 2026-cı ilin yanvar ayının əvvəlinə olan skan nəticələri göstərir ki, 10.000-dən çox qurğu hələ də yamanlanmamış vəziyyətdədir. Coğrafi paylama baxımından, bu rəqəmlər korporativ şəbəkələrin təhlükəsizliyində ciddi boşluq olduğunu təsdiqləyir:

• ABŞ: 1.3K
• Tailand: 909
• Tayvan: 728
• Yaponiya: 462
• Çin: 462

Bu cür zəifliklərin firewall kimi giriş nöqtələrində qalması, hücumçulara fidyə proqramlarının yayılması və ya şəbəkə daxilində yan hərəkət üçün ideal şərait yaradır.

Tövsiyələr və Həll Yolları

Bu ciddi və davamlı təhdidi aradan qaldırmaq üçün Fortinet və kiber təhlükəsizlik mütəxəssisləri təşkilatlara aşağıdakı təcili addımları atmağı tövsiyə edirlər:

• **Sistem Yenilənməsi:** FortiOS versiyalarının təhlükəsiz versiyalara (6.0.10+, 6.2.4+, 6.4.1+ və ya daha yenisi) təcili olaraq yüksəldilməsi.
• **Konfiqurasiya Təftişi:** Hibrid yerli-LDAP MFA quraşdırmalarından qaçınmaq və bu konfiqurasiyaları yenidən nəzərdən keçirmək.
• **SSL VPN Məhdudiyyəti:** Ehtiyac olmayan bütün SSL VPN giriş nöqtələrini ləğv etmək və Ən Az İmtiyaz Prinsipini (Least Privilege) tətbiq etmək.
• **Jurnal Monitorinqi:** SSL VPN jurnallarında istifadəçi adlarında hərflərin dəyişdirilməsi ilə edilən (case-variant login attempts) identifikasiya cəhdlərini aktiv şəkildə izləmək.
• **Xarici Audit:** Təşkilatlar Shadowserver kimi xidmətlərə abunə olaraq və ya öz Zəif HTTP skanlarını apararaq, qlobal miqyasda hələ də açıq qalan cihazları vaxtında müəyyən etməlidirlər.

**Nəticə**

CVE-2020-12812 nümunəsi bir daha göstərir ki, kritik şəbəkə cihazlarındakı köhnə zəifliklər illər keçsə belə, fəaliyyətlərini dayandırmır. Təhlükə aktyorları müdafiəsiz qalan sistemləri daima axtarırlar və mərkəzi şəbəkə qapısı rolunu oynayan firewallların yamanlanmaması bütün şəbəkənin təhlükəsizliyini risk altında qoyur. İdarəçilər təhlükəsizlik cədvəllərində geridə qalmış yamanlamaları dərhal prioritetləşdirməlidirlər.