Vulnérabilité critique de contournement d'authentification affectant FortiOS, FortiProxy et FortiSwitchManager
Une faille critique de contournement d'authentification a été décelée dans FortiOS, FortiProxy et FortiSwitchManager. Un cyberattaquant distant et non authentifié peut interagir directement avec l'API de gestion administrative et modifier la configuration des équipements.
Description
Contexte technique et détails de la vulnérabilité
Fortinet FortiOS, FortiProxy et FortiSwitchManager pilotent l'ensemble de la commutation, du filtrage et de la protection périmétrique des infrastructures réseau d'entreprise.
Ces produits sont affectés par les vulnérabilités libellées comme suit :
CVE-2022-40684 : vulnérabilité d'authentification défaillante (CWE-287) sur les canaux d'accès HTTP/HTTPS. En fournissant des en-têtes de requêtes spécifiquement forgés (ex: Client-Cert / Node.js handler), un attaquant peut usurper l'identité administrative et injecter des modifications de configuration. Elle est classée critique avec un score de sévérité de 9.8 selon le CVSS V3.1.
Impact & Risques potentiels
Conséquences potentielles en cas d'exploitation
- Contournement absolu de l'authentification administrative ;
- Altération des politiques de sécurité et ajout de comptes d'accès illégitimes ;
- Exfiltration complète des sauvegardes de configuration et des clés de chiffrement ;
- Prise de contrôle à distance intégrale de l'équipement de sécurité.
Systèmes affectés
Produits, composants et versions concernés
- FortiOS 7.2 : versions 7.2.0 à 7.2.1 ;
- FortiOS 7.0 : versions 7.0.0 à 7.0.6 ;
- FortiProxy 7.2 : version 7.2.0 ;
- FortiProxy 7.0 : versions 7.0.0 à 7.0.6 ;
- FortiSwitchManager 7.2 : version 7.2.0 ;
- FortiSwitchManager 7.0 : version 7.0.0.
Mesures & Remédiations recommandées
Actions immédiates et correctifs recommandés
- Mettre à jour FortiOS vers la version 7.2.2 ou 7.0.7 ou supérieure ;
- Mettre à jour FortiProxy vers la version 7.2.1 ou 7.0.7 ou supérieure ;
- Mettre à jour FortiSwitchManager vers la version 7.2.1 ou supérieure ;
- Mesure d'urgence : désactiver sans délai le service d'administration HTTP/HTTPS sur les interfaces publiques ou configurer une règle Local-In interdisant tout accès hors VPN d'administration.
Sources & Liens externes
Avis constructeurs et bulletins de référence
Fiche Technique
Cellule d'Urgence CSIRT
Votre infrastructure est-elle affectée ou suspectez-vous un incident ? Nos experts sont mobilisables pour intervenir.
Signaler un incidentRecevez nos alertes par email
Abonnez-vous pour recevoir nos bulletins d'alerte de sécurité et les actualités d'Iservices directement dans votre boîte mail.