A Fortinet revelou uma vulnerabilidade crítica de heap-based buffer overflow (CWE-122) no daemon cw_acd, componente responsável pelo gerenciamento CAPWAP em FortiOS e FortiSwitchManager. A falha permite que um atacante remoto, sem autenticação, envie requisições especialmente construídas para executar código ou comandos arbitrários, com risco elevado para firewalls, soluções SASE e ambientes onde interfaces de fabric estejam expostas.
Versões afetadas e versões corrigidas
Diversos ramos do FortiOS e releases do FortiSASE e FortiSwitchManager são afetados, com correções distribuídas em builds específicos. Em FortiOS, o problema atinge 7.6.0–7.6.3 (corrigido em 7.6.4+), 7.4.0–7.4.8 (corrigido em 7.4.9+), 7.2.0–7.2.11 (corrigido em 7.2.12+), 7.0.0–7.0.17 (corrigido em 7.0.18+) e 6.4.0–6.4.16 (corrigido em 6.4.17+), enquanto no FortiSwitchManager o impacto vai de 7.2.0 a 7.2.6 (fix em 7.2.7+) e de 7.0.0 a 7.0.5 (fix em 7.0.6+).
Impacto em FortiSASE e risco em ambientes gerenciados
No FortiSASE, a versão 25.2.b já foi corrigida na 25.2.c, enquanto 25.1.a.2 requer migração para um release remediado, e ramos 24.4–22 não são afetados. Organizações que usam Fortinet como ponto central de SD-WAN, SASE ou gestão de switches enfrentam risco ampliado, já que a exploração bem-sucedida do cw_acd pode comprometer o plano de controle usado para administrar FortiAP e FortiSwitch, com potencial para movimentação lateral e ataques à infraestrutura interna.
Mitigações temporárias: fabric e CAPWAP
Na ausência de patch imediato, a Fortinet recomenda desabilitar o acesso “fabric” nas interfaces, removendo o modo de gerenciamento de fabric das opções de allowaccess em portas expostas. A fabricante também orienta bloquear o tráfego CAPWAP-CONTROL (UDP 5246–5249) via políticas local-in, permitindo apenas fontes confiáveis, o que restringe o vetor de ataque ao canal utilizado para controle de FortiAP e FortiSwitch gerenciados.
Recomendações de resposta e hardening
A Fortinet aconselha priorizar atualizações para as versões corrigidas, usar a ferramenta oficial de upgrade para planejar caminhos suportados e monitorar logs em busca de comportamento anômalo do cw_acd, como crashes ou reinícios frequentes. Como prática adicional de defesa, especialistas sugerem segmentar interfaces de gerenciamento, limitar exposição de portas de controle à internet e revisar políticas de local-in para garantir que apenas IPs administrativos autorizados alcancem daemons sensíveis em appliances FortiGate e FortiSwitchManager.
