Date de la première version : 14 janvier 2025
Date de la dernière version : 14 janvier 2025
Source : Bulletin de sécurité FG-IR-24-535 du 14 janvier 2025
Le 14 janvier 2025, Fortinet a publié un avis de sécurité concernant une vulnérabilité critique, identifiée comme CVE-2024-55591, affectant les produits FortiOS et FortiProxy.
Risques :
- Contournement de la politique de sécurité
- Exécution de code arbitraire à distance
Systèmes affectés :
- FortiOS versions 7.0.x antérieures à 7.0.17
- FortiProxy versions 7.0.x antérieures à 7.0.20
- FortiProxy versions 7.2.x antérieures à 7.2.13
Résumé : Cette vulnérabilité permet à un attaquant distant non authentifié de contourner le mécanisme d'authentification de l'interface d'administration des équipements FortiOS ou FortiProxy, obtenant ainsi des privilèges de super-administrateur via l'envoi de requêtes forgées au module websocket Node.js.
Fortinet indique que cette vulnérabilité est activement exploitée.
Exaprobe conseille, avec les recommandations du CERT gouvernemental, d’appliquer les dispositions suivantes :
- Appliquer les correctifs fournis par Fortinet dans les plus brefs délais.
- Désactiver l'interface d'administration HTTP/HTTPS.
- Limiter les adresses IP autorisées à accéder à l'interface d'administration HTTP/HTTPS.
- Créer une politique locale pour restreindre l'accès uniquement au groupe prédéfini sur l'interface de gestion.
Dans la mesure du possible, analyser les fichiers journaux système afin de détecter une éventuelle compromission :
• Investiguer toute suspicion de compromission au niveau de votre système d'information*.
* Note : La mise à jour d’un produit ou d’un logiciel est une opération délicate qui doit être menée avec prudence. Il est notamment recommandé d’effectuer des tests autant que possible. Des dispositions doivent également être prises pour garantir la continuité de service en cas de difficultés lors de l’application des mises à jour comme des correctifs ou des changements de version. En cas de besoin Exaprobe est disposé à vous conseiller, accompagner.
Références et documentations