漏洞未破案

漏洞编号CVE-2024-21762，漏洞一个潜伏在Fortinet防火墙里的未破后门级漏洞，被公开时官方评分9.6。漏洞我盯着屏幕上的未破漏洞报告，突然意识到一个残酷的漏洞事实：这个漏洞在野利用至少持续了三年，而厂商和用户都以为自己的未破系统是安全的。

漏洞的漏洞发现过程像极了侦探小说。某安全研究员在分析一起APT攻击样本时，未破发现攻击流量异常地绕过了防火墙的漏洞SSL VPN认证。他花了三周时间逆向，未破最终在FortiOS的漏洞HTTP解析代码里找到了一处堆溢出。有意思的未破是，这个漏洞的漏洞触发条件极其苛刻——需要构造特定的HTTP头，且必须通过代理模式访问。未破攻击者能精准利用它，漏洞说明他们早就摸透了Fortinet的代码架构。

但最吊诡的不是漏洞本身，而是它的“生命周期”。根据威胁情报，最早的在野利用痕迹可以追溯到2021年。那一年，Fortinet还发布了另一个高危漏洞的补丁，媒体一片哗然。可CVE-2024-21762的利用代码，却像幽灵一样在暗网流传，从未被公开样本分析。直到今年初，某国的国家级APT组织在一次针对欧洲能源企业的攻击中失手，留下了一个畸形数据包，才被顺藤摸瓜揪出来。

这里有个反常识的细节：攻击者并不急着利用漏洞搞破坏。他们反而像耐心的猎人，每隔几周才发起一次试探性扫描，目标直指那些长期不更新固件的设备。我认识的一位运维工程师老张，他管理的三百多台防火墙里，有四十多台因为业务连续性要求，整整两年没打过补丁。他说：“不是不想打，是每次升级都要协调业务窗口，领导觉得风险比漏洞更大。”结果呢？他的网络里至少有七台设备已经被植入了后门，日志被清洗得干干净净。

更讽刺的是，漏洞披露后的“修复潮”反而成了攻击者的新机会。不少企业急于下载补丁，却忽略了校验哈希值，结果从钓鱼网站拉到了捆绑木马的“假补丁”。我亲眼见过某金融机构的应急响应群里，有人转发了一个声称是Fortinet官方热修复的压缩包，解压后里面藏着一个挖矿程序——这哪是修复漏洞，分明是给黑客送人头。

回到漏洞本身。Fortinet在4月发布了固件更新，但如果你仔细看release notes，会发现补丁只覆盖了特定型号。那些已经停产的旧设备，比如FortiGate 100D，至今没有修复方案。厂商的建议是“升级硬件”，可预算呢？很多中小企业根本拿不出这笔钱。漏洞还在，设备还在跑，攻击者依然在暗处盯着——这案子，怕是要悬很久了。