Vulnérabilité de déni de service affectant Fortinet FortiOS
Une vulnérabilité affectant le système d'exploitation Fortinet FortiOS a été identifiée. Elle permettrait à un utilisateur distant de saturer les ressources du service web de gestion et de provoquer un déni de service (DoS) sur l'interface graphique d'administration.
Description
Contexte technique et détails de la vulnérabilité
L'interface graphique d'administration web (GUI) de Fortinet FortiOS permet le paramétrage des règles de pare-feu, le monitoring de bande passante et l'exploitation quotidienne des équipements de sécurité réseau FortiGate.
Ces produits sont affectés par les vulnérabilités libellées comme suit :
CVE-2024-46666 : vulnérabilité due à une absence d'encadrement des allocations de mémoire lors de requêtes volumineuses (CWE-770). Un attaquant distant peut transmettre des requêtes anormales provoquant l'interruption inopinée du service HTTP/HTTPS d'administration. Elle est classée élevée avec un score de sévérité de 7.1 selon le CVSS V3.1.
Impact & Risques potentiels
Conséquences potentielles en cas d'exploitation
- Interruption prolongée de l'accès à l'interface d'administration web (GUI) ;
- Incapacité temporaire d'ajuster ou d'auditer les règles de sécurité en temps réel ;
- Atteinte ciblée à la disponibilité des fonctionnalités de gestion.
Systèmes affectés
Produits, composants et versions concernés
- FortiOS 7.6 : version 7.6.0 ;
- FortiOS 7.4 : versions 7.4.0 à 7.4.4 ;
- FortiOS 7.2 : toutes les versions ;
- FortiOS 7.0 : toutes les versions ;
- FortiOS 6.4 : toutes les versions.
Mesures & Remédiations recommandées
Actions immédiates et correctifs recommandés
- Mettre à jour FortiOS 7.6 vers la version 7.6.1 ou ultérieure ;
- Mettre à jour FortiOS 7.4 vers la version 7.4.5 ou ultérieure ;
- Migrer les équipements sous FortiOS 7.2, 7.0 ou 6.4 vers une branche activement supportée ;
- Restreindre les accès d'administration à des plages d'adresses IP strictement autorisées via des politiques locales (Local-In Policies).
Sources & Liens externes
Avis constructeurs et bulletins de référence
Fiche Technique
Cellule d'Urgence CSIRT
Votre infrastructure est-elle affectée ou suspectez-vous un incident ? Nos experts sont mobilisables pour intervenir.
Signaler un incidentRecevez nos alertes par email
Abonnez-vous pour recevoir nos bulletins d'alerte de sécurité et les actualités d'Iservices directement dans votre boîte mail.