Multiples vulnérabilités critiques dans des produits Fortinet

Date de publication :

CVE-2022-40684[Score CVSS v3.1:9.8]

Une faille de contournement d'authentification sur l'interface d’administration des produits FortiGate, FortiProxy et FortiSwitchManager permet à un attaquant d’exécuter du code HTTP/HTTPS avec les privilèges les plus élevés.

CVE-2022-33873[Score CVSS v3.1:9.8]

Une neutralisation incorrecte d'éléments utilisés dans les composants de connexion Console, Telnet et SSH de FortiTester permet à un attaquant d’exécuter du code arbitraire avec les privilèges les plus élevés.

CVE-2022-35846[Score CVSS v3.1:8.1]

Un défaut de blocage lors de tentatives d’authentification excessives sur le port Telnet de FortiTester permet à un attaquant de contourner la politique de sécurité du système.

CVE-2022-44171[Score CVSS v3.1:9.0]

Une neutralisation incorrecte d'éléments utilisés dans FortiOS permet à un attaquant d’exécuter du code arbitraire sur un switch Fortinet avec les privilèges les plus élevés.

Informations

La faille est activement exploitée :

Un correctif existe :

Une mesure de contournement existe :

Risques

Risques

    Exécution de code arbitraire

    Contournement de la politique de sécurité

    Élévation de privilèges

Criticité

    Score CVSS v3.1: 9.8 max

La faille est activement exploitée

Un correctif existe

    Oui.

Une mesure de contournement existe

La vulnérabilité exploitée est du type

CWE-288: Authentication Bypass Using an Alternate Path or Channel

CWE-78: Improper Neutralization of Special Elements used in an OS Command

CWE-307: Improper Restriction of Excessive Authentication Attempts

Détails sur l’exploitation

Pour les CVE-2022-40684 et CVE-2022-33873

    Vecteur d’attaque : Réseau.

    Complexité de l’attaque : Faible.

    Privilèges nécessaires pour réaliser l’attaque : Aucun.

    Interaction d’un utilisateur ayant accès au produit est-elle nécessaire : Non.

    L’exploitation de la faille permet d’obtenir des droits privilégiés : Oui.

Pour la CVE-2022-35846

    Vecteur d’attaque : Réseau.

    Complexité de l’attaque : Élevée.

    Privilèges nécessaires pour réaliser l’attaque : Aucun.

    Interaction d’un utilisateur ayant accès au produit est-elle nécessaire : Non.

    L’exploitation de la faille permet d’obtenir des droits privilégiés : Non.

Pour la CVE-2022-44171

    Vecteur d’attaque : Adjacent.

    Complexité de l’attaque : Faible.

    Privilèges nécessaires pour réaliser l’attaque : Authentification utilisateur simple.

    Interaction d’un utilisateur ayant accès au produit est-elle nécessaire : Non.

    L’exploitation de la faille permet d’obtenir des droits privilégiés : Oui.

Composants vulnérables

Pour la CVE-2022-40684

    FortiOS, des versions 7.0.0 à 7.0.6 et des versions 7.2.0 à 7.2.1.

    FortiProxy, des versions 7.0.0 à 7.0.6 et 7.2.0.

    FortiSwitchManager, aux versions 7.2.0 et 7.0.0.

Pour la CVE-2022-33873

    FortiTester version 7.1.0

    FortiTester version 7.0.0

    FortiTester version 4.2.0

    FortiTester version 4.1.0 à 4.1.1

    FortiTester version 4.0.0

    FortiTester version 3.9.0 à 3.9.1

    FortiTester version 3.8.0

    FortiTester version 3.7.0 à 3.7 .1

    FortiTester version 3.6.0

    FortiTester version 3.5.0 à 3.5.1

    FortiTester version 3.4.0

    FortiTester version 3.3.0 à 3.3.1

    FortiTester version 3.2.0

    FortiTester version 3.1.0

    FortiTester version 3.0.0

    FortiTester version 2.9.0

    FortiTester version 2.8.0

    FortiTester version 2.7.0

    FortiTester version 2.6.0

    FortiTester version 2.5.0

    FortiTester version 2.4.0 à 2.4.1

    FortiTester version 2.3.0

Pour la CVE-2022-35846

    FortiTester version 7.1.0 à 7.1.1

    FortiTester version 7.0.0

    FortiTester version 4.2.0 à 4.2.1

    FortiTester version 4.1.0 à 4.1.1

    FortiTester version 4.0.0

    FortiTester version 3.9.0 à 3.9.2

    FortiTester version 3.8. 0

    FortiTester version 3.7.0 à 3.7.1

    FortiTester version 3.6.0

    FortiTester version 3.5.0 à 3.5.1

    FortiTester version 3.4.0

    FortiTester version 3.3.0 à 3.3.1

    FortiTester version 3.2.0

    FortiTester version 3.1.0

    FortiTester version 3.0.0

    FortiTester version 2.9.0

    FortiTester version 2.8.0

    FortiTester version 2.7.0

    FortiTester version 2.6.0

    FortiTester version 2.5.0

    FortiTester version 2.4.0 à 2.4.1

    FortiTester version 2.3.0

Pour la CVE-2022-44171

    FortiOS version 6.0.0 à 6.0.14

    FortiOS version 6.2.0 à 6.2.10

    FortiOS version 6.4.0 à

    6.4.8 FortiOS version 7.0.0 à 7.0.3

Solutions ou recommandations

Pour la CVE-2022-40684

  • Mettre à jour FortiOS aux versions 7.0.7 et suivantes ainsi que 7.2.2 et suivantes.
  • Mettre à jour FortiProxy aux versions 7.2.1 et suivantes ainsi que 7.0.7 et suivantes.
  • Mettre à jour FortiSwitchManager aux versions 7.2.1 et suivantes.
  • Des solutions de contournement existent :
    • Désactiver l'interface d'administration HTTP/HTTPS
    • Limiter les adresses IP ayant accès à l’interface d’administration.
  • Des informations complémentaires sont disponibles ici.

Pour la CVE-2022-33873 et CVE-2022-35846

  • Mettre à niveau vers FortiTester version 7.2.0 et supérieure.
  • Mettre à niveau vers FortiTester version 7.1.1 et supérieure.
  • Mettre à niveau vers FortiTester version 4.2.1 et supérieure.
  • Mettre à niveau vers FortiTester version 3.9.2 et supérieure.
  • Des informations complémentaires sont disponibles ici et ici.

Pour la CVE-2022-44171

  • Mettre à niveau vers FortiOS version 7.0.7 ou supérieure.
  • Mettre à niveau vers FortiOS version 6.4.9 ou supérieure.
  • Mettre à niveau vers FortiOS version 6.2.11 ou supérieure.
  • Mettre à niveau vers FortiOS version 6.0.15 ou supérieure.
  • Des informations complémentaires sont disponibles ici.

Liens