Fortinet 於 12 月 24 日發布最新資安通報，警告一個存在已久的 FortiOS 安全漏洞仍遭駭客積極利用。這個編號為
CVE-2020-12812 的漏洞已有 5 年歷史，
允許攻擊者在特定配置下繞過雙因素認證（2FA）機制，直接入侵未修補的 FortiGate 防火牆。
漏洞成因與影響範圍
CVE-2020-12812 是一個不當身份驗證漏洞（Improper Authentication），CVSS 評分為 5.2 分。
該漏洞存在於 FortiOS 的 SSL VPN 功能中，當系統啟用雙因素認證時，攻擊者只需改變使用者名稱的大小寫，就能繞過第二認證因素（如 FortiToken）直接登入系統。
Fortinet 在 2020 年 7 月首次揭露這個漏洞時指出，問題發生在「user local」設定中啟用雙因素認證，且使用者認證類型設定為遠端認證方法（例如 LDAP）的情況下。漏洞成因在於本地認證與遠端認證對大小寫的處理方式不一致。
觸發漏洞的三個必要條件
根據 Fortinet 最新通報，成功觸發 CVE-2020-12812 需滿足三個特定配置條件：
- 第一，FortiGate 必須配置本地使用者條目，啟用雙因素認證並連結到 LDAP 伺服器。
- 第二，這些使用者必須是 LDAP 伺服器上某個群組的成員。
- 第三，至少有一個包含這些雙因素認證使用者的 LDAP 群組需要在 FortiGate 上配置，並用於認證政策中（例如管理使用者、SSL VPN 或 IPsec VPN）。
當滿足這些前提條件時，漏洞會導致配置了雙因素認證的 LDAP 使用者繞過安全層，直接透過 LDAP 進行認證。這是因為 FortiGate 將使用者名稱視為區分大小寫，而 LDAP 目錄則不區分大小寫。
攻擊機制的技術細節
Fortinet 解釋，假設使用者名稱為「jsmith」，當攻擊者使用「Jsmith」、「jSmith」、「JSmith」或「jsmiTh」等大小寫變體登入時，FortiGate 將無法比對到本地使用者。
此時，FortiGate 會尋找其他認證選項，並檢查已配置的防火牆認證政策。無法比對到 jsmith 後，FortiGate 會轉向次要配置的群組「Auth-Group」及其 LDAP 伺服器。只要憑證正確，認證即可成功，完全不受本地使用者政策中任何設定的限制，包括雙因素認證和停用帳戶。
這意味著攻擊者無需雙因素認證，就能以管理員或 VPN 使用者身份登入系統。
漏洞遭多起攻擊利用
Fortinet 早在 2020 年 7 月就發布了 FortiOS 6.0.10、6.2.4 和 6.4.1 版本來修補此漏洞，但仍持續遭多個威脅行為者利用。美國政府在 2021 年將 CVE-2020-12812 列入已武器化漏洞清單，指出該漏洞被用於攻擊邊界型設備。
2021 年 4 月，美國聯邦調查局（FBI）和網路安全暨基礎設施安全局（CISA）警告，國家支持的駭客正利用包括 CVE-2020-12812 在內的多個漏洞攻擊 Fortinet FortiOS，藉此繞過雙因素認證。同年 11 月，CISA 將 CVE-2020-12812 加入已知被利用漏洞目錄，標記其已被用於勒索軟體攻擊，並要求聯邦機構在 2022 年 5 月前完成系統防護。
修補與緩解措施
針對尚未部署修補版本的組織，Fortinet 提供了緩解措施。管理員可以對所有本地帳戶執行以下指令，防止認證繞過問題：
set username-case-sensitivity disable
對於使用 FortiOS 6.0.13、6.2.10、6.4.7、7.0.1 或更高版本的客戶，應執行以下指令：
set username-sensitivity disable
Fortinet 說明，當 username-sensitivity 設定為停用時，FortiGate 會將 jsmith、JSmith、JSMITH 及所有可能的組合視為相同使用者名稱，從而防止系統轉移至其他配置錯誤的 LDAP 群組設定進行認證。
作為額外的緩解措施，若不需要次要 LDAP 群組，建議將其移除。這樣能完全消除攻擊途徑，系統將無法透過 LDAP 群組進行認證，使用者名稱若與本地條目不符，便無法通過認證。
企業應立即採取行動
值得注意的是，Fortinet 這次發布的新指引並未說明攻擊的性質細節，也未透露是否有任何攻擊事件成功。該公司建議受影響的客戶聯繫其支援團隊。若發現管理員或 VPN 使用者在沒有雙因素認證的情況下成功認證，應立即重設所有憑證。
Fortinet 的漏洞經常遭到攻擊利用，其中不乏零時差漏洞。例如今年 11 月，該公司警告一個正在被積極利用的 FortiWeb 零時差漏洞（
CVE-2025-58034）。一週後，又證實已默默修補第二個在廣泛攻擊中被濫用的 FortiWeb 零時差漏洞（
CVE-2025-64446）。
鑑於 CVE-2020-12812 仍遭積極利用，使用 FortiGate 防火牆的企業應立即檢查系統配置，確認是否存在易受攻擊的設定組合，並盡快部署修補程式或啟用緩解措施，以保護網路安全。
本文轉載自 TheHackerNews、BleepingComputer。