CVE-2018-13374

Falha de controle de acesso em FortiOS e FortiADC que permite a um administrador com privilégios limitados obter, em texto claro, as credenciais do servidor LDAP configurado no dispositivo. O CVSS baixo (4.3) reflete que a exploração exige autenticação prévia com permissão para editar/testar a configuração LDAP — não é uma falha remota sem credenciais, mas está no catálogo KEV da CISA por ter exploração confirmada em ambiente real, provavelmente como etapa de escalonamento após um comprometimento inicial de conta administrativa.

A causa raiz é CWE-732 (atribuição incorreta de permissão para recurso crítico). O FortiGate/FortiADC oferece uma função de 'teste de conectividade' para validar se as credenciais configuradas para bind LDAP funcionam contra o servidor cadastrado. O problema é que essa função não valida se o endereço de destino do teste corresponde ao servidor LDAP efetivamente configurado — o parâmetro de servidor/IP usado no teste pode ser alterado pelo operador antes de disparar a verificação.

Como o dispositivo mantém a senha de bind mascarada na interface (o administrador de baixo privilégio normalmente não pode lê-la em texto claro), a única forma de recuperá-la é abusar dessa rota de teste: apontar o teste de conectividade para um servidor arbitrário e capturar ali as credenciais que o próprio FortiGate envia no processo de autenticação LDAP.

O atacante controla o campo de destino (IP/host) usado pelo teste de conectividade, mas precisa já ter acesso autenticado ao painel administrativo (Web GUI ou CLI) com permissão suficiente para acessar a configuração de LDAP — daí o PR:L no vetor CVSS. Não há evidência, nas fontes consultadas, de bypass de autenticação associado a esta CVE especificamente.

Pré-requisitos reais: conta administrativa (ou de perfil com acesso à configuração de servidores LDAP) já autenticada no FortiGate ou FortiADC, e capacidade de o dispositivo alcançar via rede um servidor LDAP controlado pelo atacante (o 'servidor rogue'). Com esses dois elementos, o atacante substitui o endereço do servidor LDAP legítimo pelo do servidor rogue no teste de conectividade e aciona o teste; o dispositivo tenta o bind contra o servidor falso, entregando usuário e senha configurados.

O impacto final é a obtenção das credenciais de bind LDAP configuradas no equipamento — tipicamente uma conta de serviço com privilégios de leitura no diretório (Active Directory ou outro LDAP), que pode ser reutilizada para movimento lateral, enumeração de usuários/grupos ou, dependendo dos privilégios da conta, escalonamento adicional na rede corporativa.

A CISA lista a CVE no catálogo KEV com confirmação de exploração ativa, mas sem associação a campanhas de ransomware conhecidas segundo o próprio catálogo. O cenário mais provável de abuso é pós-comprometimento: um atacante que já obteve uma conta administrativa de baixo privilégio no Fortinet usa essa técnica para escalar horizontalmente, capturando credenciais de diretório que abrem portas mais amplas na rede.

O fornecedor publicou o advisory FG-IR-18-157 com a correção. As faixas de versão afetadas estão descritas oficialmente; a versão exata que corrige o problema em cada ramo (FortiOS e FortiADC) deve ser confirmada diretamente no advisory FG-IR-18-157, pois essa informação não pôde ser verificada com precisão nas fontes disponíveis para esta página — evite assumir um número de build sem checar a página do fornecedor.

Como controle compensatório quando a atualização não é imediata: restringir o mínimo possível de contas com permissão de editar/testar configuração LDAP (princípio de menor privilégio administrativo), segmentar a rede de gerência do dispositivo para que ele só alcance os servidores LDAP legítimos (whitelisting de destino de rede/firewall), e monitorar logs de auditoria administrativa para qualquer alteração no endereço de servidor LDAP seguida de teste de conectividade.

Não funciona como mitigação: apenas trocar a senha da conta de bind LDAP sem corrigir a falha — a mesma técnica pode ser usada novamente para capturar a nova credencial enquanto a vulnerabilidade não for corrigida via patch.

Nos logs do FortiGate/FortiADC, procurar por eventos de teste de conectividade LDAP (event/audit log de configuração) em que o endereço de destino diverge do servidor LDAP normalmente configurado, especialmente se seguido de mudança rápida de volta ao valor original — padrão típico de quem testa contra um servidor rogue e depois restaura a configuração para não deixar rastro. Do lado do servidor LDAP rogue, o sinal é uma tentativa de bind LDAP originada do IP de gerência do dispositivo Fortinet vinda de fora da infraestrutura de diretório legítima.

Não há assinatura de rede confiável e específica para esta exploração, já que o tráfego é LDAP legítimo (bind request) direcionado a um host diferente do esperado — a detecção depende principalmente de auditoria de configuração no próprio equipamento e de contas administrativas monitoradas.