Vulnérabilité critique affectant l'authentification RADIUS sur les solutions Fortinet
Une faiblesse cryptographique majeure inhérente au protocole d'authentification RADIUS sur UDP (nommée BlastRADIUS) impacte les solutions d'entreprise Fortinet. Elle permettrait à un tiers en position d'écoute réseau de forger des autorisations d'accès illégitimes.
Description
Contexte technique et détails de la vulnérabilité
Le protocole RADIUS (Remote Authentication Dial-In User Service) est largement mis en œuvre sur les équipements FortiOS, FortiProxy, FortiAnalyzer, FortiManager et FortiADC pour valider les accès d'administration et les connexions VPN auprès d'annuaires centraux.
Ces produits sont affectés par les vulnérabilités libellées comme suit :
CVE-2024-3596 : vulnérabilité protocolaire de falsification de paquets RADIUS UDP (BlastRADIUS - CWE-924). En l'absence de vérification obligatoire de l'attribut Message-Authenticator, un attaquant en position d'homme-du-milieu (MitM) peut altérer les réponses d'authentification sans détenir le secret partagé. Elle est classée critique avec un score de sévérité de 9.0 selon le CVSS V3.1.
Impact & Risques potentiels
Conséquences potentielles en cas d'exploitation
- Contournement des procédures d'authentification d'entreprise et élévation de privilèges ;
- Intrusion réseau sans connaissance des identifiants valides ;
- Atteinte grave à l'intégrité du système centralisé de contrôle des accès.
Systèmes affectés
Produits, composants et versions concernés
- FortiOS 7.6 (7.6.0), FortiOS 7.4 (7.4.0 à 7.4.5), FortiOS 7.2 (7.2.0 à 7.2.10) ;
- FortiManager 7.6 (7.6.0 à 7.6.1), FortiManager 7.4 (7.4.0 à 7.4.5), FortiManager 7.2 (7.2.0 à 7.2.9) ;
- FortiAnalyzer 7.6 (7.6.0), FortiAnalyzer 7.4 (7.4.0 à 7.4.5), FortiAnalyzer 7.2 (7.2.0 à 7.2.9) ;
- FortiADC 7.6 (7.6.0), FortiADC 7.4 (7.4.0 à 7.4.5) ;
- FortiProxy 7.4 (7.4.0 à 7.4.5).
Mesures & Remédiations recommandées
Actions immédiates et correctifs recommandés
- Mettre à niveau l'ensemble des équipements vers les versions logicielles intégrant la validation systématique de l'attribut Message-Authenticator ;
- Pour FortiOS : appliquer les versions 7.6.1, 7.4.6 ou 7.2.11 ;
- Pour FortiManager et FortiAnalyzer : appliquer les versions 7.6.2, 7.4.6 ou 7.2.10 ;
- Pour FortiADC : appliquer la version 7.6.1 ou 7.4.6 ;
- Configurer les serveurs d'authentification RADIUS pour exiger Message-Authenticator ou migrer vers RadSec (RADIUS sur TLS encapsulé).
Sources & Liens externes
Avis constructeurs et bulletins de référence
Fiche Technique
Cellule d'Urgence CSIRT
Votre infrastructure est-elle affectée ou suspectez-vous un incident ? Nos experts sont mobilisables pour intervenir.
Signaler un incidentRecevez nos alertes par email
Abonnez-vous pour recevoir nos bulletins d'alerte de sécurité et les actualités d'Iservices directement dans votre boîte mail.