Red Hot Cyber
Sicurezza Informatica, Notizie su Cybercrime e Analisi Vulnerabilità
Quando si parla di firewall e VPN enterprise, l’aspettativa è sempre la stessa: autenticazione solida, controlli affidabili, nessuna scorciatoia. E invece, ogni tanto, qualcosa scricchiola, soprattutto quando sono state effettuate delle configurazioni troppo permissive.
La questione non riguarda exploit fantasiosi o catene di attacco da film. Parliamo di configurazioni reali, diffuse, e di un meccanismo che, se lasciato così com’è, può permettere accessi dove non dovrebbero esserci. Insomma, una di quelle storie che meritano attenzione senza panico, ma senza distrazioni.
Fortinet ha confermato l’esistenza di una vulnerabilità di bypass dell’autenticazione in FortiOS, identificata come CVE-2026-22153 e classificata con severità alta. Il problema consente a un attaccante non autenticato di superare i controlli LDAP usati da Agentless VPN o dalle policy Fortinet Single Sign-On.
Il cuore della falla è nel demone fnbamd, responsabile della gestione delle richieste di autenticazione. In scenari specifici, eh, quelli in cui il server LDAP consente bind non autenticati, la gestione delle richieste non è corretta e apre una porta laterale.
Il risultato è piuttosto diretto: accesso senza credenziali valide. Non sempre, non ovunque, ma abbastanza da rendere la cosa seria, soprattutto in ambienti dove SSL-VPN è esposto su Internet.
La vulnerabilità rientra nella categoria CWE-305, quindi bypass dell’autenticazione per debolezza primaria. Fortinet ha assegnato un punteggio CVSS v3.1 da 7,5, sottolineando l’accessibilità via rete e una complessità di attacco non banale.
L’impatto riguarda il controllo degli accessi. In pratica, un attaccante potrebbe entrare in una rete protetta sfruttando policy che si affidano a LDAP, senza passare da username e password. Un esempio concreto? Un’infrastruttura aziendale con VPN agentless attiva e LDAP configurato in modo permissivo, magari per comodità operativa.
Non tutte le installazioni sono vulnerabili, ed è qui che molti rischiano di abbassare la guardia. Ma quando la combinazione c’è, l’effetto è netto.
Sono interessate esclusivamente le versioni FortiOS dalla 7.6.0 alla 7.6.4. Tutti gli altri rami, inclusi 8.0, 7.4, 7.2, 7.0 e 6.4, non risultano affetti. La soluzione indicata è l’aggiornamento a FortiOS 7.6.5 o successiva, seguendo il percorso ufficiale di upgrade.
Per chi non può intervenire subito, esiste una mitigazione temporanea: disabilitare i bind non autenticati sul server LDAP. In ambienti Windows Active Directory recenti, questa operazione è esplicitamente supportata e riduce l’esposizione.
Ad esempio, i binding LDAP non autenticati possono essere disabilitati in Windows Active Directory (a partire da Windows Server 2019) tramite il seguente frammento di codice PowerShell:
$configDN = (Get-ADRootDSE).configurationNamingContext$dirSvcDN = "CN=Directory Service,CN=Windows NT,CN=Services,$configDN"Set-ADObject -Identity $dirSvcDN -Add @{'msDS-Other-Settings'='DenyUnauthenticatedBind=1'}
La vulnerabilità è stata individuata da Jort Geurts del team Actemium Cyber Security Team tramite responsible disclosure, e Fortinet ha pubblicato l’avviso invitando ad aggiornare rapidamente i sistemi esposti.
Per la community di Red Hot Cyber questo episodio ricorda una verità semplice ma spesso ignorata: le configurazioni “comode” sono quasi sempre quelle che, prima o poi, presentano il conto. LDAP, VPN e identità vanno trattati come componenti critici se si tratta di endpoint esposti su internet, e non sono dettagli operativi.
Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.
