Falha antiga no FortiOS volta a ser explorada e permite bypass de 2FA

A Fortinet emitiu um alerta informando que identificou exploração ativa na internet de uma vulnerabilidade antiga, mas ainda extremamente perigosa, que afeta o FortiOS SSL VPN. A falha, catalogada como CVE-2020-12812 e com pontuação CVSS de 5,2, permite que hackers contornem a autenticação multifator (2FA) em determinados cenários de configuração.

Embora a vulnerabilidade tenha sido divulgada originalmente em 2020, a Fortinet confirmou, em um advisory publicado em 24 de dezembro de 2025, que o problema voltou a ser explorado por múltiplos invasores, reforçando que falhas antigas continuam sendo um vetor relevante de ataques quando sistemas permanecem desatualizados ou mal configurados.

O problema está relacionado a uma inconsistência no tratamento de letras maiúsculas e minúsculas (case sensitivity) durante o processo de autenticação. A falha ocorre quando:

• A autenticação em dois fatores (2FA) está habilitada para usuários locais no FortiGate

• Esses usuários locais utilizam autenticação remota, como LDAP

• O mesmo usuário faz parte de um grupo configurado no servidor LDAP

• Esse grupo LDAP é utilizado em políticas de autenticação (admin, SSL VPN ou IPsec VPN)

Nessa situação, o FortiGate trata o nome de usuário como case-sensitive, enquanto o LDAP não faz essa distinção. Como resultado, ao alterar a capitalização do nome de usuário (por exemplo, JSmith, jsmiTh, JSMITH), o sistema não associa o login ao usuário local protegido por 2FA e acaba autenticando diretamente via LDAP sem exigir o segundo fator.

Segundo a Fortinet, isso permite que usuários administrativos ou de VPN sejam autenticados sem 2FA, desde que as credenciais LDAP estejam corretas.

A vulnerabilidade já havia sido listada pelo governo dos Estados Unidos como uma das falhas exploradas em ataques contra dispositivos de perímetro em 2021. Agora, a Fortinet confirma que o problema voltou a ser explorado ativamente, embora não tenha divulgado detalhes técnicos sobre os ataques ou confirmado se houve comprometimentos bem-sucedidos.

A Fortinet corrigiu esse comportamento ainda em julho de 2020, com o lançamento das versões:

• FortiOS 6.0.10

• FortiOS 6.2.4

• FortiOS 6.4.1

Para ambientes que ainda não aplicaram essas versões, é possível mitigar o problema com o comando:

set username-case-sensitivity disable

Já clientes que utilizam FortiOS 6.0.13, 6.2.10, 6.4.7, 7.0.1 ou superior devem executar:

set username-sensitivity disable

Com essa configuração, o FortiGate passa a tratar todas as variações de capitalização do nome de usuário como equivalentes, impedindo o desvio do fluxo de autenticação e o bypass do 2FA.

Como medida adicional, a Fortinet recomenda remover grupos LDAP secundários que não sejam estritamente necessários, eliminando completamente a possibilidade desse vetor de ataque.

Caso haja qualquer indício de que usuários administrativos ou de VPN tenham sido autenticados sem 2FA, a orientação é entrar em contato com o suporte da Fortinet e redefinir todas as credenciais afetadas.

Via - THN