FortiOS CVE-2024-21762, Celah SSL VPN Fortinet

Bayangkan kantor yang memakai FortiGate sebagai firewall sekaligus pintu VPN untuk karyawan yang bekerja dari rumah. Fitur SSL VPN-nya terbuka ke internet supaya bisa diakses dari mana saja. Pada Februari 2024, fitur inilah yang menjadi titik lemah: CVE-2024-21762 memungkinkan orang yang tidak punya akun sama sekali menjalankan kode di perangkat.

Jawaban singkatnya, celah ini sudah ditambal sejak 8 Februari 2024. Kalau FortiGate-mu menjalankan versi perbaikan atau lebih baru, celah ini tertutup. Kalau belum, atau kamu tidak yakin, artikel ini menjelaskan cara memeriksanya.

Celahnya ada di layanan sslvpnd

Fortinet menerbitkan advisory FG-IR-24-015 pada 8 Februari 2024 dengan judul "Out-of-bound Write in sslvpnd". Sslvpnd adalah proses yang melayani SSL VPN di FortiOS. Karena salah menangani permintaan tertentu, proses ini bisa menulis data di luar batas memori yang semestinya (CWE-787).

Akibatnya serius. Penyerang jarak jauh tanpa autentikasi bisa mengirim permintaan HTTP yang direkayasa dan menjalankan kode atau perintah di perangkat. Skor CVSS 3.1-nya 9.8, baik versi Fortinet maupun NVD, dengan vektor serangan lewat jaringan, kompleksitas rendah, dan tanpa interaksi pengguna.

Advisory Fortinet menyebut celah ini berpotensi sedang dieksploitasi di lapangan. Sehari kemudian, 9 Februari 2024, CISA memasukkannya ke katalog Known Exploited Vulnerabilities (KEV) dan memberi instansi federal AS tenggat sampai 16 Februari 2024. Per 11 November 2026, entri KEV-nya juga menandai celah ini sebagai pernah dipakai dalam kampanye ransomware.

Versi mana yang perlu diperbarui?

Selain FortiOS, celah yang sama ada di FortiProxy. Berikut ringkasan dari advisory resmi:

FortiOS 7.6 tidak tercantum sebagai terdampak. Versi yang dipakai perangkat bisa dilihat di dasbor antarmuka web atau lewat perintah get system status di CLI.

Bila belum bisa upgrade, satu-satunya solusi sementara yang diakui Fortinet adalah mematikan SSL VPN. Advisory-nya menegaskan bahwa mematikan webmode saja bukan solusi yang valid. Mematikan SSL VPN tentu memutus akses karyawan jarak jauh, jadi siapkan jalur akses lain sebelum melakukannya.

Upgrade belum tentu menghapus jejak penyusup

Ada pelajaran penting yang muncul setahun kemudian. Pada April 2025, tim PSIRT Fortinet menerbitkan analisis aktivitas pelaku yang memakai celah lama, termasuk FG-IR-24-015, untuk menanam symbolic link di folder file bahasa SSL VPN. Tautan itu menghubungkan sistem file pengguna ke sistem file root dan bisa bertahan melewati upgrade firmware.

Hasilnya, pelaku tetap punya akses baca ke file di perangkat, termasuk kemungkinan konfigurasi, meskipun celah awalnya sudah ditambal. Fortinet menyatakan perangkat yang tidak pernah mengaktifkan SSL VPN tidak terdampak masalah ini.

Fortinet merilis FortiOS 7.6.2, 7.4.7, 7.2.11, 7.0.17, dan 6.4.16 yang menghapus tautan berbahaya itu dan mengubah antarmuka SSL VPN agar tidak lagi menyajikannya. Mesin AV/IPS yang berlisensi dan aktif juga bisa mendeteksi lalu menghapusnya. Fortinet menyarankan semua pelanggan memperbarui ke versi tersebut, meninjau konfigurasi, dan memperlakukan konfigurasi sebagai berpotensi bocor.

Temuan ini juga menjelaskan kenapa sebagian tim merasa aman padahal belum. Perangkat yang di-upgrade dengan benar pada 2024 tetap bisa menyimpan tautan yang dibuat sebelum patch dipasang, dan tautan itu tidak terlihat di konfigurasi biasa. Hanya versi baru atau mesin AV/IPS yang aktif yang membersihkannya secara otomatis.

Artinya, tidak cukup bertanya "sudah patch atau belum". Pertanyaan yang lebih tepat adalah "apakah perangkat ini pernah rentan saat celahnya diburu, dan apa yang mungkin sudah diambil".

Langkah pemeriksaan untuk tim IT

Untuk FortiGate yang pernah menjalankan SSL VPN di versi terdampak, urutan kerjanya kira-kira seperti ini. Pertama, naikkan versi ke rilis terbaru di cabang yang didukung, minimal versi yang juga membersihkan symlink di atas. Kedua, ekspor dan tinjau konfigurasi: cari akun admin, akun VPN lokal, aturan firewall, atau alamat yang tidak kamu kenal.

Ketiga, ganti semua kredensial yang tersimpan atau melewati perangkat. Ini mencakup password admin, akun VPN lokal, pre-shared key IPsec, dan akun layanan yang dipakai untuk mengikat LDAP atau RADIUS. Keempat, periksa log VPN dan log sistem pada periode perangkat masih rentan, terutama login admin dari alamat asing dan perubahan konfigurasi yang tidak tercatat di jadwal kerja.

Kalau ada indikasi kuat penyusupan, pertimbangkan pemasangan ulang dari konfigurasi bersih dan ikuti panduan pemulihan resmi Fortinet. Libatkan tim respons insiden bila perangkat ini memegang akses ke banyak sistem internal.

Pola yang sama di banyak gateway VPN

CVE-2024-21762 masuk deretan panjang celah di perangkat tepi jaringan. Kasus serupa terjadi pada Ivanti Connect Secure CVE-2025-0282 dan firewall Palo Alto CVE-2024-3400. Perangkat ini selalu menghadap internet, jarang dipantau seketat server, dan pembaruannya sering ditunda karena khawatir mengganggu koneksi kantor.

Kebiasaan yang paling membantu adalah memperlakukan firewall dan VPN sebagai aset dengan prioritas patch tertinggi, memantau katalog KEV CISA, dan menyiapkan jendela pemeliharaan rutin agar update darurat tidak menunggu rapat panjang. Ditambah pemeriksaan pasca-patch seperti di atas, risiko celah lama yang diam-diam masih dimanfaatkan bisa ditekan.

Ringkasnya, pastikan FortiOS-mu sudah melewati versi perbaikan CVE-2024-21762, lalu naikkan lagi ke versi yang membersihkan symlink bila SSL VPN pernah aktif. Setelah itu, tinjau konfigurasi dan ganti kredensial, karena patch menutup pintu tetapi tidak mengusir yang mungkin sudah masuk.