Vulnérabilité de type « out-of-bounds write » dans la fonctionnalité SSL-VPN de FortiOS et FortiProxy
FortiOS est un système d’exploitation utilisé sur les équipements de Fortinet, tandis que FortiProxy est une solution de proxy sécurisée de Fortinet. Ces deux produits intègrent la fonctionnalité SSL-VPN, permettant aux utilisateurs d’établir des connexions sécurisées à distance en utilisant le protocole SSL/TLS.
Cette fonctionnalité présente une vulnérabilité libellée CVE-2024-21762, permettant à un acteur malveillant non authentifié d’exécuter des commandes arbitraires à distance sur le système cible en envoyant des requêtes HTTP spécialement conçues. L’exploitation de cette vulnérabilité nécessite l’activation de la fonctionnalité SSL-VPN dans FortiOS ou FortiProxy.
Ces vulnérabilités sont classées critiques et leur score de sévérité est 9.6.
RISQUES DE SÉCURITÉ
- Atteinte à la confidentialité des données
- Atteinte à l’intégrité des données
- Atteinte à la disponibilité des données
SYSTÈMES AFFECTÉS
Fortinet FortiOS :
- FortiOS versions 7.4.0 à 7.4.2
- FortiOS versions 7.2.0 à 7.2.6
- FortiOS versions 7.0.0 à 7.0.13
- FortiOS versions 6.4.0à 6.4.14
- FortiOS versions 6.2.0 à 6.2.15
- FortiOS 6.0 toutes versions.
Fortinet Proxy :
- FortiProxy versions 7.4.0 à 7.4.2
- FortiProxy versions 7.2.0 à 7.2.8
- FortiProxy versions 7.0.0 à 7.0.14
- FortiProxy versions 2.0.0 à 2.0.13
- FortiProxy 1.2 toutes versions
- FortiProxy 1.1 toutes versions
- FortiProxy 1.0 toutes versions
MESURES À PRENDRE
Mettre à jour FortiOS vers les versions 7.4.3, 7.2.7, 7.0.14, 6.4.15, 6.2.16 ou ultérieures, et FortiProxy vers les versions 7.4.3, 7.2.9, 7.0.15, 2.0.14, ou ultérieures.
Source: bjCSIRT
