近日，根據 Fortinet 最新報告：不明來源的的攻擊者利用零日漏洞針對政府和大型組織，導致操作系統和文件損壞以及數據丟失。

Fortinet于2023年3月7日發布了安全更新，以解決這個高危安全漏洞（CVE-2022-41328），該漏洞可以讓攻擊者執行未經授權的代碼或命令。

該公司在公告中說：FortiOS中的路徑名對受限目錄漏洞的不當限制（路徑穿越）[CWE-22]允許有特權的攻擊者通過CLI命令讀取和寫入任意文件。

受影響的產品包括FortiOS 6.4.0至6.4.11版本，FortiOS 7.0.0至7.0.9版本，FortiOS 7.2.0至7.2.3版本，以及FortiOS 6.0和6.2的所有版本。

雖然該漏洞的公告沒有提到該漏洞被人在野外利用，但Fortinet上周發布的一份報告顯示，CVE-2022-41328漏洞已被用來入侵并攻陷客戶的多個FortiGate防火墻設備。

數據竊取惡意軟件

該事件是在被攻擊的Fortigate設備中斷后發現的，由于FIPS錯誤，系統進入錯誤模式并無法重新啟動。

Fortinet說，發生這種情況是因為其支持FIPS的設備驗證了系統組件的完整性，而且它們被設置為自動關閉并停止啟動，以便在檢測到破壞時阻止網絡入侵。

這些Fortigate防火墻是通過受害者網絡上的FortiManager設備被破壞的，因為它們同時停止，并且FortiGate路徑遍歷漏洞與通過FortiManager執行的腳本同時啟動。

隨后的調查顯示，攻擊者修改了設備固件鏡像（/sbin/init），在啟動過程開始前啟動一個有效載荷（/bin/fgfm）。

這種惡意軟件在收到含有";7(Zu9YTsA7qQ#vm "字符串的ICMP數據包時，可以進行數據滲透，下載和寫入文件，或打開遠程外殼。

用來攻擊政府網絡的零日

Fortinet認為，這些攻擊具有很強的針對性，主要針對政府網絡。攻擊者還具有很強的攻擊手段及能力，包括反向設計FortiGate設備的部分操作系統。因為該漏洞需要對FortiOS和底層硬件有深入的了解。

今年1月，Fortinet披露了一系列非常類似的事件，2022年12月打了補丁并被追蹤為CVE-2022-42475的FortiOS SSL-VPN漏洞也被用作針對政府組織和政府相關實體的零日漏洞。

最后，該公司建議Fortinet的用戶立即升級到FortiOS的補丁版本，以阻止潛在的攻擊。