Fortinet a corrigé deux failles critiques dans FortiNAC et FortiWeb
Fortinet, spécialiste des solutions de sécurité, a mis en ligne un correctif de sécurité pour deux de ses produits : FortiNAC et FortiWeb, dans le but de corriger des failles de sécurité critiques !
FortiNAC et la faille de sécurité CVE-2022-39952
Tout d'abord, parlons de la CVE-2022-39952 découverte dans les produits FortiNAC de Fortinet et qui hérite d'un score CVSS de 9,8 sur 10 ! D'après le bulletin de sécurité de l'éditeur, cette vulnérabilité correspond à la technique CWE-73 du référentiel du MITRE permettant un contrôle externe du nom du fichier ou du chemin d'accès, ce qui permettrait à un attaquant non authentifié d'effectuer des écritures arbitraires sur le système.
Voici toutes les versions affectées par cette faille de sécurité :
- FortiNAC version 9.4.0
- FortiNAC version 9.2.0 à 9.2.5
- FortiNAC version 9.1.0 à 9.1.7
- FortiNAC 8.8
- FortiNAC 8.7 (toutes les versions)
- FortiNAC 8.6 (toutes les versions)
- FortiNAC 8.5 (toutes les versions)
- FortiNAC 8.3 (toutes les versions)
Ainsi, vous devez mettre à jour votre solution de sécurité FortiNAC pour être protégé contre cette vulnérabilité, en utilisant l'une des versions suivantes : 9.4.1, 9.2.6, 9.1.8 ou 7.2.0.
FortiWeb et la faille de sécurité CVE-2021-42756
La seconde vulnérabilité, qui est en fait un ensemble de failles de sécurité, est associée à la référence CVE-2021-42756 et elle affecte les produits FortiWeb. Elle hérite d'un score CVSS de 9,3 sur 10. Il est intéressant de noter que cette faille est associée à l'année "2021" (d'après la référence CVE) mais qu'elle n'a pas été divulguée pendant tout ce temps !
Pour rappel, FortiWeb est une solution de protection pour les applications Web et les API afin de détecter et bloquer différentes attaques (SQL injections, XSS, DDoS, attaques par bot, etc.).
Dans le bulletin de sécurité dédié à ces failles de sécurité, Fortinet précise qu'elles "peuvent permettre à un attaquant distant non authentifié d'exécuter un code arbitraire via des requêtes HTTP spécifiquement conçues.".
Là encore, plusieurs versions de FortiWeb sont affectées :
- FortiWeb versions 5.x (toutes les versions)
- FortiWeb versions 6.0.7 et inférieures
- FortiWeb versions 6.1.2 et inférieures
- FortiWeb versions 6.2.6 et inférieures
- FortiWeb versions 6.3.16 et inférieures
- FortiWeb versions 6.4 (toutes les versions)
Pour vous protéger contre cette menace, vous devez utiliser l'une des versions suivantes : 7.0.0, 6.3.17, 6.2.7, 6.1.3, ou 6.0.8.
À vos mises à jour !
