Fortinet מזהירה: עקיפת 2FA ב-FortiGate מ-2020 נוצלה בפועל, בהגדרות מסוימות
ב-24 בדצמבר 2025 פרסמה Fortinet התראה על ניצול בפועל של CVE-2020-12812, חולשה בת חמש שנים שעוקפת 2FA ב-FortiGate. הסיכון קיים רק בהגדרה שמשלבת משתמשים מקומיים עם LDAP.
TL;DR בקצרה
- ב-24 בדצמבר 2025 דיווחה Fortinet על ניצול בפועל של CVE-2020-12812, חולשה ב-FortiOS שתוקנה כבר ב-2020.
- שינוי באותיות הגדולות והקטנות בשם המשתמש מאפשר להיכנס בלי הקוד השני, אם יש משתמשים מקומיים עם 2FA וקבוצת LDAP.
- התיקון תלוי בהגדרה: מכבים רגישות לאותיות בחשבונות המקומיים ומסירים קבוצות LDAP משניות מיותרות.
- אם יש חשד לפריצה, Fortinet ממליצה לאפס את כל פרטי ההתחברות, כולל חשבון הקישור ל-LDAP.
ב-24 בדצמבר 2025 פרסמה Fortinet התראה על ניצול בפועל של CVE-2020-12812. זו חולשת עקיפה של אימות דו-שלבי (2FA) בחומות האש FortiGate. Fortinet תיקנה אותה כבר ביולי 2020, אבל היא עדיין עובדת בהגדרות מסוימות.
CVE-2020-12812: איך שינוי של אות אחת עוקף את הקוד השני
FortiGate מתייחסת לשמות משתמש כרגישים לאותיות גדולות וקטנות. שרתי LDAP, לעומת זאת, בדרך כלל לא מבחינים ביניהם. הפער הזה הוא שורש הבעיה.
נניח שלמשתמש מקומי בשם jsmith יש 2FA. תוקף מקליד Jsmith, וזה לא תואם בדיוק לרשומה המקומית. לכן FortiGate בודקת מדיניות אימות אחרת, והמשתמש מתחבר מול קבוצת LDAP. הכניסה מצליחה, וה-FortiGate לא מבקשת את הקוד השני בכלל.
שלושת התנאים שחושפים את ה-FortiGate שלכם
לפי Fortinet, החולשה פועלת רק כששלושה תנאים מתקיימים יחד:
- במכשיר יש משתמשים מקומיים עם 2FA שמפנים ל-LDAP.
- אותם משתמשים חברים בקבוצת LDAP.
- לפחות אחת מקבוצות ה-LDAP מוגדרת ב-FortiGate ומשמשת במדיניות אימות.
מדיניות כזו יכולה לחול על מנהלים, על SSL VPN או על IPsec VPN. ארגון בלי קבוצות LDAP במדיניות האימות לא חשוף. שם משתמש שאינו תואם לרשומה מקומית ייכשל אצלו.
מה Fortinet ממליצה לעשות מול CVE-2020-12812
התיקון המקורי יצא ביולי 2020, בגרסאות FortiOS 6.0.10, 6.2.4 ו-6.4.1. הוא הוסיף הגדרה שמבטלת את הרגישות לאותיות. גרסאות 6.0.13, 6.2.10, 6.4.7 ו-7.0.1 ומעלה כוללות אותה גם הן.
העדכון לבדו אינו מספיק, כי ההגדרה צריכה להיות פעילה. Fortinet ממליצה להתקין גרסה מתוקנת ולהחיל את ההגדרה על כל החשבונות המקומיים. בגרסאות הראשונות הפקודה היא set username-case-sensitivity disable. בגרסאות המאוחרות היא set username-sensitivity disable.
בנוסף, כדאי להסיר קבוצות LDAP משניות שאין בהן צורך. מי שחושד שנפגע צריך להתייחס לתצורה כאל חשופה. Fortinet מורה לאפס את כל פרטי ההתחברות, כולל חשבון הקישור ל-LDAP ול-AD. כמו כן, יש לפנות לתמיכה שלה.
למה חולשה בת חמש שנים חוזרת לכותרות
החולשה אינה חדשה. לפי BleepingComputer, ב-2021 הזהירו ה-FBI ו-CISA שתוקפים בחסות מדינות מנצלים כמה חולשות ב-FortiOS, ובהן זו. בנובמבר 2021 הוסיפה CISA אותה לקטלוג החולשות המנוצלות, וסימנה שהיא שימשה בהתקפות כופר.
הניצול הנוכחי מראה למה בדיקת גרסה אינה מספיקה. הסיכון תלוי בהגדרות ובמבנה של האימות, ולא רק במספר הגרסה. לכן ארגונים שעדכנו אך לא הפעילו את ההגדרה עלולים להיות חשופים.
מה זה אומר עבורכם
- בדקו את שלושת התנאים: האם יש משתמשים מקומיים עם 2FA שמפנים ל-LDAP, ושקבוצת LDAP נמצאת במדיניות אימות.
- הפעילו את ההגדרה: הריצו את הפקודה המתאימה לגרסה שלכם על כל החשבונות המקומיים.
- צמצמו קבוצות LDAP: הסירו קבוצות משניות שאינן נחוצות, כדי לחסום נפילה למדיניות אחרת.
- עברו על יומני הכניסה: חפשו כניסות עם שם משתמש שנכתב באותיות גדולות וקטנות אחרות מהרשום.
- אם יש חשד: אפסו את כל הסיסמאות, כולל חשבון הקישור ל-LDAP, ופנו לתמיכה של Fortinet.
מה קרה מאז
ב-2 בינואר 2026 דיווחה BleepingComputer על מעקב של Shadowserver. הוא מצא מעל 10,000 חומות אש של Fortinet שנותרו חשופות לחולשה. לפי הדיווח, מעל 1,300 מהן בארצות הברית.
מקורות והרחבה
- Product Security Advisory and Analysis: Observed Abuse of FG-IR-19-283Fortinet PSIRT
- Fortinet warns of 5-year-old FortiOS 2FA bypass still exploited in attacksBleepingComputer
- CISA Known Exploited Vulnerabilities Catalog: CVE-2020-12812CISA
- Over 10,000 Fortinet firewalls exposed to ongoing 2FA bypass attacksBleepingComputer
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
