国际威胁情报动态：FortiOS CVE-2024-21762 在野利用后的授权排查与边界修复

发布于3小时前3小时

背景

Fortinet 在安全公告 FG-IR-24-015 中披露了 FortiOS SSL VPN 组件的越界写入漏洞 CVE-2024-21762。该漏洞位于面向公网的 sslvpnd 处理链路，可能在未认证条件下导致代码执行，随后被 CISA KEV 目录收录。对企业而言，真正需要关注的不只是“版本是否存在漏洞”，而是设备在升级前是否已经暴露、是否出现异常进程行为，以及攻击者是否借助 VPN 边界进入内网。

以下内容面向已获得授权的设备核查与事件响应，不提供漏洞利用载荷。重点是确认暴露面、保全日志、判断权限边界是否失守，并给出可直接执行的修复步骤。

问题定位

首先从资产侧确认三件事：设备实际运行版本、SSL VPN 是否启用、SSL VPN 监听端口是否能被互联网直接访问。不能只依赖资产台账或外部扫描平台，因为 FortiGate 可能经过端口映射、反向代理或多出口发布。

# FortiGate CLI：确认型号、版本、构建号及运行状态
get system status

# 查看 SSL VPN 完整配置，重点关注监听端口、接口和来源地址限制
show full-configuration vpn ssl settings

# 查看 sslvpnd 进程及 SSL VPN 运行统计
diagnose sys process pidof sslvpnd
diagnose vpn ssl statistics

# 在经授权的外部测试节点确认实际暴露情况
nmap -Pn -sV -p 443,10443 --script ssl-cert,ssl-enum-ciphers vpn.example.com
curl -kI --connect-timeout 5 
openssl s_client -connect vpn.example.com:10443 -servername vpn.example.com </dev/null

版本判断应以厂商公告中的受影响矩阵为准，不要仅比较主版本号。例如同为 FortiOS 7.2，不同补丁版本的修复状态并不相同；集群环境还要分别确认每个节点的 build 信息。

外部无法访问登录页面，不等于漏洞不可达。需要同时检查 DNAT、云负载均衡、备用链路、IPv6 地址和仅在特定域名下生效的虚拟主机配置。

技术分析：从边界漏洞到内网链路

CVE-2024-21762 的风险点在于漏洞位于公网可达的 SSL VPN 服务。若利用成功，后续活动通常不会停留在设备本身，而可能沿以下链路扩展：

利用 sslvpnd 异常取得边界设备执行能力，或造成进程反复崩溃。
读取现有配置、VPN 用户映射、LDAP/RADIUS 参数及网络拓扑信息。
新增管理员、修改防火墙策略、静态路由、自动化任务或本地用户。
复用已有 VPN 会话或凭据访问内网管理面、文件服务和身份系统。
清理本地日志，或等待日志滚动后继续保持低频访问。

因此，“已升级到安全版本”只能阻断后续利用，不能直接证明升级前没有失陷。排查时应把设备日志、FortiAnalyzer、认证服务器、DNS、EDR 和内网流量记录放在同一时间线上。

日志与配置排查

预认证漏洞未必产生正常的 VPN 登录日志。单纯搜索登录失败次数容易漏报，更有效的方法是将 sslvpnd 崩溃记录、系统重启、配置修改和内网连接异常关联起来。

# 查看设备崩溃记录，关注 sslvpnd、wad 等进程在暴露期间的异常
 diagnose debug crashlog read

# 查看管理员与最近配置状态
show system admin
get system status

# 检查高风险配置对象
show firewall policy
show firewall local-in-policy
show router static
show system interface
show system automation-trigger
show system automation-action
show system automation-stitch

# 检查当前路由和会话；生产环境会话量较大时应先限定维护窗口
get router info routing-table all
diagnose sys session stat
diagnose sys session list

配置核查时，建议将当前配置与最后一份可信备份做文本差异比较。需要重点确认：

是否出现无法解释的新管理员、本地 VPN 用户或权限提升。
管理员 trusted hosts 是否被删除，管理协议是否重新开放到公网。
防火墙策略中是否新增任意源到管理网、域控或虚拟化平台的放行规则。
是否新增静态路由、策略路由、VIP、IP Pool 或异常 DNS 配置。
是否存在陌生的 automation stitch、Webhook、外部连接器或脚本动作。
HA 节点配置是否一致，备用节点是否仍运行受影响版本。

若日志已经集中发送到 FortiAnalyzer 或 SIEM，可围绕以下字段建立检索：事件子类型、管理员账号、源地址、VPN 用户、远端地址、动作结果、失败原因、配置对象和设备序列号。重点关注补丁前后出现的首次源地址、非工作时间登录、同一账号跨国家或跨 ASN 使用，以及 VPN 登录后短时间内访问管理网段的行为。

# 通用 SIEM 检索思路，字段名需按实际日志规范调整
(device_vendor="Fortinet" AND
 (process="sslvpnd" OR subtype="vpn" OR subtype="system"))
| sort timestamp asc

# 关联高风险链路
VPN_LOGIN_SUCCESS
  -> destination_port IN (22, 3389, 445, 5985, 5986, 443)
  -> destination_zone IN (management, server, domain_controller)
  -> time_window <= 30m

授权验证步骤

不建议直接在生产设备上运行公开利用代码。对这类边界设备，漏洞验证应以版本、配置和可达性证据为主；如必须验证补丁有效性，应在隔离实验环境中使用相同型号、相同 FortiOS build 和脱敏配置复现。

记录设备序列号、版本、build、HA 状态和当前时间，导出原始配置与日志。
从互联网、办公网和运维网分别测试 SSL VPN 端口可达性，确认真实边界。
对照 FG-IR-24-015 的版本矩阵判断是否受影响，并检查是否存在未升级的 HA 节点。
检查 crashlog 中是否存在无变更窗口可解释的 sslvpnd 异常。
比对可信配置备份，核查管理员、策略、路由、VPN 门户和自动化配置变化。
在身份系统中关联同一时段的 LDAP、RADIUS、MFA 和特权账号活动。
从 VPN 地址池反查内网访问记录，确认是否触达域控、备份、虚拟化或安全管理平台。

风险处置与修复建议

确认设备处于受影响版本时，应优先升级到厂商公告列出的修复版本，而不是只依赖 WAF、IPS 或入口 ACL。此类漏洞发生在 VPN 服务自身，外围规则无法稳定覆盖所有协议解析路径。

如果暂时无法升级，可在评估业务影响后关闭 SSL VPN，并通过受控的替代接入方式保障运维。以下配置需要在变更窗口执行，并提前准备带外管理和回滚方案：

# 临时关闭 SSL VPN，具体命令以设备版本支持情况为准
config vpn ssl settings
    set status disable
end

# 完成升级后再次确认版本和 HA 状态
get system status
get system ha status

# 恢复服务前检查监听配置和来源地址限制
show full-configuration vpn ssl settings

如果已经发现异常管理员、未知策略、异常崩溃与可疑内网访问等失陷迹象，仅升级固件并删除账号并不充分。建议执行以下处置：

先隔离公网入口并保存配置、系统日志、FortiAnalyzer 日志和上下游网络记录。
轮换本地管理员、VPN 用户、LDAP/RADIUS 绑定账号、API Token、证书私钥及可能经设备转发的运维凭据。
从可信固件和经过审核的配置重建设备，不直接使用失陷后的完整配置覆盖恢复。
排查从 VPN 地址池到内网的横向活动，重点检查域控、跳板机、备份服务器和虚拟化管理平台。
将管理面与 VPN 业务面分离，限制管理接口来源地址，并启用独立的多因素认证。
确保事件、流量、VPN 和管理员操作日志实时外送，避免设备本地日志被覆盖或删除后失去证据。

误报与判断边界

sslvpnd 单次崩溃不能独立证明漏洞已被利用，正常升级、资源耗尽和软件缺陷也可能产生类似记录。反过来，没有崩溃日志也不能证明设备安全，因为成功利用未必触发持久化崩溃，且本地日志可能已经滚动。结论至少应由版本与暴露面、崩溃时间、配置差异、认证记录和内网访问行为中的两类以上证据相互印证。

总结

这起事件延续了近期国际威胁情报中的明显趋势：攻击者优先利用 VPN、防火墙等公网边界设备，再借助其网络位置进入管理区和核心业务区。处置重点不应停留在扫描漏洞编号，而应完成“确认暴露—保全日志—核查配置—回溯内网链路—升级或重建—轮换凭据”的闭环。对于已长期暴露且无法证明未失陷的设备，应按潜在入侵事件处理，而不是按普通补丁变更关闭工单。

2小时前2小时

这类事件不建议只做“升级后观察”。CVE-2024-21762 是 SSL-VPN 入口的未授权代码执行风险，设备一旦在漏洞窗口内对公网开放过，就应按“边界设备可能失陷”处理。

先保全现场，再重启或升级。建议立即导出配置、系统事件、管理员操作日志、VPN 登录日志及上游防火墙/流量日志，并记录当前 HA 主备状态和时间同步情况。设备侧可先检查版本及崩溃记录：

get system status
get system ha status
diagnose debug crashlog read

execute log filter reset
execute log filter category event
execute log display

重点关注漏洞暴露期间的 sslvpnd 异常退出、反复重启、无升级操作对应的设备重启，以及来源异常的管理员登录和配置变更。没有 crash log 不能排除利用，攻击成功后未必留下稳定、明确的设备侧特征。

配置审计建议至少覆盖以下对象，并与此前可信配置做差异比较：

show full-configuration system admin
show full-configuration system api-user
show full-configuration system automation-action
show full-configuration system automation-trigger
show full-configuration firewall policy
show full-configuration firewall local-in-policy
show full-configuration vpn ssl settings
show full-configuration user local
show full-configuration user group

特别检查新增或提权的管理员、异常 trusted-host、API 用户/令牌、自动化脚本、策略放宽、SSL-VPN 门户及用户组变化。还应检查设备发起的异常外连；最好在上游设备检索 FortiGate 管理口或业务接口 IP 的 DNS、HTTP(S)、SSH 等出站记录。

版本修复应以 Fortinet 当前公告为准。最初修复线包括 7.4.3、7.2.7、7.0.14、6.4.15、6.2.16；6.0 分支应迁移到仍受支持且已修复的版本。升级前后都要确认实际运行版本，HA 环境需要逐节点核验，不能只看当前主节点。

若暂时无法升级，先关闭 SSL-VPN，而不是仅关闭 web mode：

config vpn ssl settings
    set status disable
end

同时在上游 ACL 或本机 local-in policy 限制对应监听端口。需要注意，单纯修改 SSL-VPN 端口、隐藏登录页面或只允许特定门户，都不能替代修复。

如果已有异常迹象，建议不要直接信任原配置备份进行恢复。更稳妥的做法是使用可信固件重装或恢复出厂后，人工重建必要配置，并轮换所有可能经设备暴露的凭据：本地/LDAP/RADIUS 管理员密码、API token、VPN 用户凭据、站点到站点 PSK、自动化 webhook 密钥，以及设备私钥和管理证书。最后再结合上游日志确认是否存在横向访问，因为边界设备日志可能已被清理或篡改。

登录