Vulnérabilité dans FortiOS SSL-VPN

RISQUE(S)

Exécution de code arbitraire à distance

SYSTÈMES AFFECTÉS
FortiOS versions 7.2.x antérieures à 7.2.3
FortiOS versions 7.0.x antérieures à 7.0.9
FortiOS versions 6.4.x antérieures à 6.4.11
FortiOS versions 6.2.x antérieures à 6.2.12
FortiOS-6K7K versions 7.0.x antérieures à 7.0.8
FortiOS-6K7K versions 6.4.x antérieures à 6.4.10
FortiOS-6K7K versions 6.2.x antérieures à 6.2.12
FortiOS-6K7K versions 6.0.x antérieures à 6.0.15

RÉSUMÉ
Le 12 décembre 2022, l'éditeur Fortinet a publié un avis de sécurité mentionnant une vulnérabilité critique dans son produit FortiOS SSL-VPN. Cette vulnérabilité de débordement de tas permet à un attaquant distant non authentifié d'exécuter du code ou des commandes arbitraires via des requêtes spécifiquement conçues.

Fortinet a connaissance d'un cas où cette vulnérabilité a été exploitée. Le CERT-FR anticipe des exploitations en masse de la vulnérabilité CVE-2022-42475, d'autant plus que de nombreuses interfaces d’administration de produits Fortinet sont exposées sur Internet.

CONTOURNEMENT PROVISOIRE
Il est recommandé de désactiver le service VPN.

SOLUTION
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

DÉTECTION
L'application seule des correctifs n'est pas suffisante. En effet, si un attaquant a exploité la vulnérabilité avant leur application, il a pu déposer une porte dérobée qui lui permettra de se connecter ultérieurement au système.

Il est recommandé d'effectuer une analyse des systèmes notamment à l'aide des indicateurs de compromission fournis par l'éditeur : https://www.fortiguard.com/psirt/FG-IR-22-398. Ces marqueurs préliminaires sont fournis à titre indicatif et ne sont pas exhaustifs.  

DOCUMENTATION
Avis CERT-FR CERTFR-2022-AVI-1090 du 13 décembre 2022
https://www.cert.ssi.gouv.fr/avis/CERTFR-2022-AVI-1090  
Bulletin de sécurité Fortinet FG-IR-22-398 du 12 décembre 2022
https://www.fortiguard.com/psirt/FG-IR-22-398  

Référence CVE CVE-2022-42475
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-42475  
Le guide d'hygiène informatique
https://www.ssi.gouv.fr/uploads/2017/01/guide_hygiene_informatique_anssi.pdf  
[1] Recommandations relatives à l’administration sécurisée des systèmes d’information
https://www.ssi.gouv.fr/administration/guide/securiser-ladministration-des-systemes-dinformation/  
Les bons réflexes en cas d’intrusion sur un système d’information
https://www.cert.ssi.gouv.fr/les-bons-reflexes-en-cas-dintrusion-sur-un-systeme-dinformation/  

Dernière version de ce document

https://www.cert.ssi.gouv.fr/alerte/CERTFR-2022-ALE-012/