Vulnérabilité de type « out-of-bounds write » dans la fonctionnalité SSL-VPN de FortiOS et FortiProxy

ACM_Admin 19 février 2024

0 3 Moins d'une minute

FortiOS est un système d’exploitation utilisé sur les équipements de Fortinet, tandis que FortiProxy est une solution de proxy sécurisée de Fortinet. Ces deux produits intègrent la fonctionnalité SSL-VPN, permettant aux utilisateurs d’établir des connexions sécurisées à distance en utilisant le protocole SSL/TLS.

Cette fonctionnalité présente une vulnérabilité libellée CVE-2024-21762, permettant à un acteur malveillant non authentifié d’exécuter des commandes arbitraires à distance sur le système cible en envoyant des requêtes HTTP spécialement conçues. L’exploitation de cette vulnérabilité nécessite l’activation de la fonctionnalité SSL-VPN dans FortiOS ou FortiProxy.

Ces vulnérabilités sont classées critiques et leur score de sévérité est 9.6.

RISQUES DE SÉCURITÉ

Atteinte à la confidentialité des données

Atteinte à l’intégrité des données

Atteinte à la disponibilité des données

SYSTÈMES AFFECTÉS

Fortinet FortiOS :

FortiOS versions 7.4.0 à 7.4.2

FortiOS versions 7.2.0 à 7.2.6

FortiOS versions 7.0.0 à 7.0.13

FortiOS versions 6.4.0à 6.4.14

FortiOS versions 6.2.0 à 6.2.15

FortiOS 6.0 toutes versions.

Fortinet Proxy :

FortiProxy versions 7.4.0 à 7.4.2

FortiProxy versions 7.2.0 à 7.2.8

FortiProxy versions 7.0.0 à 7.0.14

FortiProxy versions 2.0.0 à 2.0.13

FortiProxy 1.2 toutes versions

FortiProxy 1.1 toutes versions

FortiProxy 1.0 toutes versions

MESURES À PRENDRE

Mettre à jour FortiOS vers les versions 7.4.3, 7.2.7, 7.0.14, 6.4.15, 6.2.16 ou ultérieures, et FortiProxy vers les versions 7.4.3, 7.2.9, 7.0.15, 2.0.14, ou ultérieures.

Source: bjCSIRT