AccueilActualités informatiqueLes mises à jour de FortiOS et FortiProxy comblent des failles de...

Les mises à jour de FortiOS et FortiProxy comblent des failles de sécurité, contrôle recommandé

De nouvelles versions logicielles pour FortiOS et FortiProxy comblent des failles qui pourraient permettre à des pirates d’introduire des codes malveillants, d’étendre vos droits ou d’obtenir des informations sensibles. L’une des failles, dont le risque a été estimé faible au départ, a été exploitée dans la pratique pour introduire des codes malveillants, raison pour laquelle le fabricant recommande d’examiner les appareils à la recherche de traces d’intrusions potentielles.

Sommaire

Fortinet annonce un total de huit vulnérabilités :

  • Un débordement d’entier dans la gestion de la mémoire du VPN SSL aurait pu être exploité par des attaquants pour brouiller les données sur le tas avec des requêtes manipulées et ainsi exécuter du code potentiellement arbitraire (CVE-2021-26109, catégorie de risque selon CVSS élevé).
  • Les clés de chiffrement des cookies SSL-VPN programmées en dur auraient permis aux attaquants de les extraire du firmware, ce qui aurait permis d’obtenir des informations sans autorisation (CVE-2021-26108, élevé).
  • Les utilisateurs connectés auraient pu étendre leurs droits en devenant super-admin, par exemple en manipulant des scripts d’automatisation dans le démon autod de FortiOS et FortiProxy (CVE-2021-26110, élevé).
  • Une vulnérabilité de traversée de chemin dans FortiOS et FortiProxy aurait permis à des utilisateurs non inscrits de récupérer des informations sensibles et d’étendre leurs privilèges en introduisant des chaînes de caractères de chemin dans une requête GET à la page de connexion (CVE-2021-41024, élevé).

  • Un débordement de tampon basé sur le tas lors de la vérification de la signature des images de firmware aurait pu permettre à un attaquant d’injecter du code arbitraire en utilisant des images de firmware préparées (CVE-2021-36173, élevé).
  • Le portail VPN SSL de FortiOS et FortiProxy était vulnérable au Cross-Site-Request-Forgery (CSRF), permettant à un attaquant de contourner les contrôles d’accès (CVE-2021-26103, moyen).
  • Un débordement de tampon dans la bibliothèque du client TFTP aurait permis à des utilisateurs connectés à la ligne de commande d’exécuter du code arbitraire (CVE-2021-42757, moyen).
  • Le script « restore src-vis » pouvait télécharger du code sans contrôle d’intégrité. Des utilisateurs connectés localement peuvent ainsi récupérer du code arbitraire sur les machines avec des paquets de mise à jour manipulés. (CVE-2021-44168, faible).

Pour cette dernière vulnérabilité en particulier, le risque pratique semble toutefois s’écarter de la classification CVSS, car l’entreprise a détecté un appareil compromis par ce biais. L’avis de sécurité de Fortinet décrit comment les administrateurs des solutions de l’éditeur peuvent vérifier s’ils ont été victimes d’une intrusion et si un attaquant s’est installé chez eux sans y être invité.

Diverses applications FortiOS (5– jusqu’à Série 7-) et les versions de FortiProxy (1er-, 2 pièces– et Série 7-) sont partiellement affectées par les vulnérabilités. Les administrateurs de systèmes Fortinet devraient donc lancer la mise à jour vers la nouvelle version corrigée du logiciel par les moyens qu’ils connaissent et procéder à la vérification recommandée des hôtes indésirables.

Plus d'articles