Vulnérabilité d'injection de commandes affectant FortiManager et FortiAnalyzer
Une vulnérabilité liée à l'injection de commandes système a été mise en évidence dans Fortinet FortiManager et FortiAnalyzer. Elle permettrait à un utilisateur malveillant d'exécuter des commandes système arbitraires avec des droits élevés.
Description
Contexte technique et détails de la vulnérabilité
FortiManager et FortiAnalyzer sont des équipements critiques de gestion et d'audit pour les architectures réseau étendues, assurant le contrôle des accès et la conservation des journaux de conformité.
Ces produits sont affectés par les vulnérabilités libellées comme suit :
CVE-2022-27483 : vulnérabilité d'injection de commandes du système d'exploitation (CWE-78) via l'interface en ligne de commande ou les appels de configuration non assainis. Elle autorise un utilisateur habilité à contourner les restrictions pour lancer des processus shell non contrôlés. Elle est classée élevée avec un score de sévérité de 8.8 selon le CVSS V3.1.
Impact & Risques potentiels
Conséquences potentielles en cas d'exploitation
- Exécution de commandes shell arbitraires avec les privilèges du système sous-jacent ;
- Possibilité d'altération des bases de configurations et des certificats enregistrés ;
- Atteinte grave à la confidentialité et à l'intégrité des composants d'administration.
Systèmes affectés
Produits, composants et versions concernés
- FortiAnalyzer 7.0 : versions 7.0.0 à 7.0.3 ;
- FortiAnalyzer 6.4 : versions 6.4.0 à 6.4.7 ;
- FortiAnalyzer 6.2 et 6.0 : toutes les versions (obsolètes) ;
- FortiManager 7.0 : versions 7.0.0 à 7.0.3 ;
- FortiManager 6.4 : versions 6.4.0 à 6.4.7.
Mesures & Remédiations recommandées
Actions immédiates et correctifs recommandés
- Mettre à jour immédiatement FortiManager et FortiAnalyzer vers la version 7.0.4 ou supérieure ;
- Appliquer la version corrective 6.4.8 sur les déploiements sous branche 6.4 ;
- Migrer sans délai les systèmes sous branches 6.2 et 6.0 vers des versions supportées.
Sources & Liens externes
Avis constructeurs et bulletins de référence
Fiche Technique
Cellule d'Urgence CSIRT
Votre infrastructure est-elle affectée ou suspectez-vous un incident ? Nos experts sont mobilisables pour intervenir.
Signaler un incidentRecevez nos alertes par email
Abonnez-vous pour recevoir nos bulletins d'alerte de sécurité et les actualités d'Iservices directement dans votre boîte mail.