D’après la CISA, la faille de sécurité critique dans le VPN SSL de Fortinet est déjà exploitée !
La nouvelle est tombée le vendredi 9 février 2024 : les firewalls Fortinet sont affectés par une faille de sécurité critique présente dans la fonction VPN SSL de FortiOS. Une vulnérabilité qui serait exploitée dans le cadre d'attaques, d'après la CISA. Voici les dernières informations.
Pour rappel, cette nouvelle faille de sécurité critique de type "out-of-bounds write", associée à la référence CVE-2024-21762 et à un score CVSS de 9.6 sur 10, a été identifiée sur le système FortiOS. Elle permet à un attaquant non authentifié d'exécuter du code à distance sur le firewall Fortinet, à l'aide d'une requête spécialement conçue dans ce but.
Suite à la divulgation et à la correction de cette faille de sécurité dans plusieurs versions de FortiOS, Fortinet a mis en ligne un bulletin de sécurité. D'ailleurs, dans ce bulletin de sécurité, il est précisé : "Cette vulnérabilité est potentiellement exploitée dans la nature." - Ce qui laisse planer le doute : Fortinet ne semble pas certain que la vulnérabilité soit exploitée dans le cadre d'attaques.
Du côté de la CISA, l'agence américaine spécialisée dans la cybersécurité, c'est plus clair : la faille de sécurité CVE-2024-21762 a été ajoutée au catalogue de la CISA qui référence les vulnérabilités connues et exploitées dans le cadre d'attaques. Ceci est visible sur cette page.
Aux États-Unis, le fait que cette vulnérabilité soit ajoutée à ce référentiel n'est pas anodin. En effet, ceci permet à la CISA d'ordonner aux agences fédérales américaines de protéger leurs appareils FortiOS contre cette vulnérabilité dans un délai de 7 jours, soit avant le 16 février 2024 dans le cas présent. Ceci est probablement la preuve qu'il y a un risque élevé associé à cette faille de sécurité.
Enfin, il est important de préciser que cette vulnérabilité affecte également FortiProxy, comme le montre le tableau ci-dessous. La version disponible dans un premier temps faisait mention uniquement de FortiOS, mais FortiProxy est venu s'ajouter à son tour.
Un autre bulletin de sécurité fait référence à la CVE-2024-23113 : une faille de sécurité critique permettant une exécution de code à distance et présente dans FortiOS, FortiPAM, FortiProxy et FortiSwitchManager.
