Una vulnerabilidad descubierta en 2020 en el sistema FortiOS SSL VPN ha vuelto a convertirse en un riesgo activo para organizaciones que usan esta tecnología de Fortinet. El problema, catalogado como CVE-2020-12812, tiene una puntuación CVSS de 5.2 y afecta al mecanismo de autenticación de dos factores (2FA), permitiendo que usuarios eviten este segundo paso de seguridad bajo ciertas configuraciones.
El fallo se presenta cuando el nombre de usuario se introduce con una combinación distinta de mayúsculas y minúsculas respecto al valor registrado. Esto provoca que el sistema, en lugar de validar la cuenta local con 2FA, delegue la autenticación al servidor LDAP, que no distingue entre mayúsculas y minúsculas.
Imaginemos que se tiene registrado «jsmith» como usuario, pero alguien inicia sesión con «JSmith» o «jsmiTh». En ese caso, el FortiGate podría ignorar la validación 2FA y autorizar el acceso directamente a través del servidor LDAP, comprometiendo la seguridad de la red. Continúa leyendo «Vulnerabilidad en FortiOS: una vieja debilidad que vuelve a amenazar la autenticación VPN»
