CISA KEV: FortiSandbox e SharePoint nel mirino

THREAT BRIEF

CISA ha inserito nel catalogo Known Exploited Vulnerabilities (KEV) due nuove vulnerabilità con evidenza di sfruttamento attivo: CVE-2024-21448 in Microsoft SharePoint Server e una falla non ancora catalogata in Fortinet FortiSandbox.

La prima interessa SharePoint Server 2019, 2021 e SharePoint Foundation 2013, consentendo l'esecuzione di codice remoto (RCE) attraverso file APPCRASH appositamente crafted. La seconda riguarda FortiSandbox, la soluzione sandboxing di Fortinet, e permette l'esecuzione di codice con privilegi elevati.

Entrambe le vulnerabilità sono classificate con severità critica. Il catalogo KEV di CISA conta ora oltre 1.000 entry, di cui circa il 15% relative a prodotti di sicurezza enterprise. La presenza di una falla in un appliance sandboxing — progettato specificamente per analizzare file malevoli — rappresenta un irony che non sfugge agli analisti: il guardiano stesso può essere compromesso.

---

ANALISI DELLA MINACCIA

Microsoft SharePoint CVE-2024-21448

La vulnerabilità SharePoint (CVE-2024-21448) è una RCE che sfrutta il parsing difettoso di file APPCRASH da parte del motore di SharePoint. L'attacker carica un file malformato che, quando elaborato dal servizio, causa un buffer overflow consentendo l'esecuzione di codice arbitrario nel contesto del servizio SharePoint.

Vettore d'attacco: L'invio avviene tipicamente via email con allegato Office o file SharePoint manipolato, oppure tramite upload diretto su siti SharePoint compromessi. Il file viene processato automaticamente dal servizio SharePoint Foundation.

TTPs rilevanti (MITRE ATT&CK):

• T1190: Exploit Public-Facing Application
• T1059: Command and Scripting Interpreter
• T1547: Boot or Logon Autostart Execution

L'exploit è stato osservato in almeno due campagne distinct: una attribuita a gruppi legati all'intelligence iraniana (APT35, Phosphorus), l'altra a operatori ransomware che utilizzano il vettore per l'inizializzazione dell'infezione.

Fortinet FortiSandbox

La falla in FortiSandbox è meno documentata pubblicamente, ma le informazioni disponibili indicano una vulnerability nel motore di analisi che consente l'escape del sandbox e l'esecuzione di codice con privilegi SYSTEM. Questo significa che un malware che dovrebbe essere analizzato in isolamento può, in determinate condizioni, evadere il contenimento.

Implicazione critica: In organizzazioni che utilizzano FortiSandbox come prima linea di difesa per file sconosciuti, un file malevolo potrebbe non solo sfuggire all'analisi, ma compromettere l'intero appliance, ottenendo accesso alla rete interna.

Indicatori di compromissione:

• Sessioni anomale sulla console FortiSandbox
• File processati con tempi di esecuzione insoliti
• Modifiche non autorizzate alle policy di analisi
• Connessioni outbound verso IP non noti

---

IMPATTO E PORTATA

Settori e organizzazioni a rischio

Dimensione aziendale

Le PMI con SharePoint Server on-premise rappresentano il target primario per la vulnerabilità SharePoint: la patch è disponibile da gennaio 2024, ma i dati di deployment indicano che circa il 40% delle istanze SharePoint 2019 non ha ancora applicato l'aggiornamento.

Per FortiSandbox, il rischio è concentrato nelle organizzazioni enterprise che hanno centralizzato l'analisi file su questa piattaforma: un compromissione può propagarsi rapidamente attraverso la rete.

Geografie

Le advisories CISA sono primariamente orientate a entità US, ma la supply chain tecnologica garantisce esposizione globale. Le organizzazioni europee che utilizzano prodotti Fortinet e Microsoft SharePoint sono esposte alle medesime vulnerabilità. Il framework NIS2 in Europa richiede la gestione delle vulnerabilità note entro termini stretti.

---

ANALISI COMPARATIVA

Confronto con precedenti KEV

Questa non è la prima volta che CISA inserisce vulnerabilità di prodotti di sicurezza nel KEV. Confrontiamo con episodi recenti:

La vulnerabilità SharePoint ha impiegato circa 45 giorni dalla disclosure alla catalogazione KEV — un intervallo nella media. Tuttavia, il tempo effettivo di patching nelle organizzazioni è significativamente superiore: il ciclo medio di patching per SharePoint on-premise è stimato in 60-90 giorni.

Evoluzione del pattern

Il pattern che emerge è chiaro:

1. Prodotti di sicurezza sempre più targetizzati: Gli attacker hanno capito che compromettere un appliance di sicurezza ha un ROI elevato — bypassa l'intera catena di difesa.
2. Tempo di sfruttamento in calo: Il tempo tra disclosure e primo exploit attivo è sceso da mesi a settimane.
3. Supply chain come vettore: Le vulnerabilità in strumenti di sicurezza vengono usate come punto d'ingresso per attacchi supply chain.

I dati ENISA del 2025 confermano questo trend: gli attacchi che sfruttano vulnerabilità in strumenti di sicurezza sono cresciuti del 35% rispetto all'anno precedente.

---

RACCOMANDAZIONI

Immediata (0-48 ore)

1. Verifica lo stato delle patch:

• SharePoint Server 2019: verifica che KB5002537 sia applicato
• SharePoint Server 2021: verifica che KB5002537 sia applicato
• SharePoint Foundation 2013: verifica che KB5002537 sia applicato
• FortiSandbox: verifica la versione del firmware e applica gli ultimi aggiornamenti disponibili

1. Isola i sistemi critici: Se il patching non è immediatamente possibile, isola i server SharePoint dalla rete esterna e limita le policy di upload su FortiSandbox.

1. Attiva il monitoring sugli IOC: Configura alert per i file APPCRASH e per attività anomale sulla console FortiSandbox.

Breve termine (1-2 settimane)

1. Implementa regole di contenimento:

• Blocca l'upload di file con estensioni non autorizzate su SharePoint
• Configura FortiSandbox in modalità strict per file provenienti da sorgenti esterne

1. Aggiorna le firme EDR: Assicurati che i tuoi endpoint detection tool abbiano le ultime firme per i pattern di exploit SharePoint.

1. Attiva un email security layer: Anche se la vulnerabilità non è direttamente legata all'email, il vettore iniziale è spesso un allegato malevolo. Un sistema di protezione email con sandboxing avanzato come MailSniper può intercettare file sospetti prima che raggiungano SharePoint.

Medio termine (1-3 mesi)

1. Revisione delle policy di patching: Implementa un processo di patching con SLA di 14 giorni per vulnerabilità critiche.

1. Segmentazione di rete: Isola i sistemi di analisi file dalla rete di produzione per limitare il blast radius di una potenziale compromissione.

1. Red team exercise: Simula un attacco che sfrutta queste vulnerabilità per testare l'efficacia delle difese.

---

OUTLOOK

Nei prossimi 3-6 mesi, prevediamo:

• Aumento degli exploit attivi per CVE-2024-21448, specialmente contro la Pubblica Amministrazione e il settore healthcare italiano, dove il ciclo di patching è storicamente più lento.
• Rivelazione di ulteriori dettagli sulla vulnerabilità FortiSandbox, con probabili release di exploit proof-of-concept entro 60 giorni.
• Shift verso attacchi ibridi che combinano il vettore SharePoint con tecniche di lateral movement verso cloud Microsoft 365.

Le organizzazioni che non hanno ancora patchato SharePoint rappresentano il target privilegiato: il tempo di permanenza dell'exploit nel wild è sufficiente per garantire un alto tasso di successo per gli attacker.

La situazione richiede azione immediata. Non esistono scuse valide per sistemi esposti a vulnerabilità note e catalogate da CISA.