Vulnérabilité dans les produits Fortinet

Risque(s)

- Exécution de code arbitraire à distance

Systèmes affectés

- FortiOS versions 7.2.x antérieures à 7.2.5
- FortiOS versions 7.0.x antérieures à 7.0.12
- FortiOS versions 6.4.x antérieures à 6.4.13
- FortiOS versions 6.2.x antérieures à 6.2.14
- FortiOS versions 6.0.x antérieures à 6.0.17
- FortiOS-6K7K versions 6.0.x antérieures à 6.0.17
- FortiOS-6K7K versions 6.2.x antérieures à 6.2.15
- FortiOS-6K7K versions 6.4.x antérieures à 6.4.13
- FortiOS-6K7K versions 7.0.x antérieures à 7.0.12
- FortiProxy versions antérieures à 7.0.10
- FortiProxy versions 7.2.x antérieures à 7.2.4

Résumé

Le 12 juin 2023, Fortinet a publié un avis de sécurité concernant la vulnérabilité CVE-2023-27997. Celle-ci permet à un attaquant non authentifié d'exécuter du code arbitraire à distance sur des produits Fortinet qui proposent une fonctionnalité de VPN SSL.

Dans une communication supplémentaire (cf. section Documentation), Fortinet indique que cette vulnérabilité n'est exploitable que si la fonctionnalité VPN SSL est activée. De plus, celle-ci serait activement exploitée dans le cadre d'attaques ciblées.

Le CERT-FR a connaissance d'une preuve de concept disponible publiquement. En l'état, le code permet uniquement un déni de service à distance. Le CERT-FR recommande donc d'appliquer le correctif, disponible depuis le 9 juin 2023, dans les meilleurs délais.

La communication supplémentaire [1] de Fortinet contient également des recommandations utiles concernant la recherche de marqueurs de compromission, le durcissement de l'équipement ainsi que le rappel de bonnes pratiques de sécurité.

Solution

L'application seule des correctifs n'est pas suffisante. Il est fortement recommandé :

- d'effectuer une analyse des systèmes, en cas de suspicion de compromission, il est recommandé de continuer les investigations afin de déterminer les actions prises par un éventuel attaquant [2];
- d'appliquer les mesures de durcissement fournies par l'éditeur et de respecter les bonnes pratiques de sécurité.

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

- Bulletin de sécurité FG-IR-23-097 du 12 juin 2023
https://www.fortiguard.com/psirt/FG-IR-23-097  
- [1] Communication de Fortinet sur la vulnérabilité CVE-2023-27997 du 12 juin 2023
https://www.fortinet.com/blog/psirt-blogs/analysis-of-cve-2023-27997-and-clarifications-on-volt-typhoon-campaign  
- Avis CERT-FR CERTFR-2023-AVI-0451 du 13 juin 2023
https://www.cert.ssi.gouv.fr/avis/CERTFR-2023-AVI-0451/  
- [2] Les bons réflexes en cas d’intrusion sur un système d’information
https://www.cert.ssi.gouv.fr/les-bons-reflexes-en-cas-dintrusion-sur-un-systeme-dinformation/  
- Référence CVE CVE-2023-27997
https://www.cve.org/CVERecord?id=CVE-2023-27997  

Dernière version de ce document

https://www.cert.ssi.gouv.fr/alerte/CERTFR-2023-ALE-004/