Vulnérabilité d'élévation de privilèges affectant Fortinet FortiOS
Une vulnérabilité d'élévation de privilèges a été mise en évidence dans Fortinet FortiOS. Elle permettrait à un administrateur disposant de droits restreints au module Security Fabric de s'arroger des privilèges de super-administrateur.
Description
Contexte technique et détails de la vulnérabilité
Le système de contrôle d'accès basé sur les rôles (RBAC) de FortiOS structure les habilitations opérationnelles pour préserver le principe du moindre privilège lors de l'exploitation quotidienne des équipements FortiGate.
Ces produits sont affectés par les vulnérabilités libellées comme suit :
CVE-2024-40591 : vulnérabilité d'attribution incorrecte de privilèges (CWE-266). En exploitant une communication malveillante au sein de la Security Fabric, un compte administrateur restreint peut transgresser ses attributions et obtenir les droits maximaux. Elle est classée élevée avec un score de sévérité de 8.2 selon le CVSS V3.1.
Impact & Risques potentiels
Conséquences potentielles en cas d'exploitation
- Élévation de privilèges vers le niveau de super-administrateur ;
- Rupture du principe de moindre privilège et du cloisonnement des rôles ;
- Capacité de modification arbitraire des politiques de filtrage réseau.
Systèmes affectés
Produits, composants et versions concernés
- FortiOS 7.6 : version 7.6.0 ;
- FortiOS 7.4 : versions 7.4.0 à 7.4.4 ;
- FortiOS 7.2 : versions 7.2.0 à 7.2.9 ;
- FortiOS 7.0 : versions 7.0.0 à 7.0.15 ;
- FortiOS 6.4 : toutes les versions.
Mesures & Remédiations recommandées
Actions immédiates et correctifs recommandés
- Mettre à jour FortiOS 7.6 vers la version 7.6.1 ou supérieure ;
- Mettre à jour FortiOS 7.4 vers la version 7.4.5 ou supérieure ;
- Mettre à jour FortiOS 7.2 vers la version 7.2.10 ou supérieure ;
- Mettre à jour FortiOS 7.0 vers la version 7.0.16 ou supérieure ;
- Migrer impérativement les équipements en version 6.4 vers une release maintenue.
Sources & Liens externes
Avis constructeurs et bulletins de référence
Fiche Technique
Cellule d'Urgence CSIRT
Votre infrastructure est-elle affectée ou suspectez-vous un incident ? Nos experts sont mobilisables pour intervenir.
Signaler un incidentRecevez nos alertes par email
Abonnez-vous pour recevoir nos bulletins d'alerte de sécurité et les actualités d'Iservices directement dans votre boîte mail.