Vulnérabilité d'exécution de code à distance dans le service VPN SSL de Fortinet

Fortinet a connaissance d'au moins un cas où cette vulnérabilité a été exploitée avec succès, mais d'autres cas inconnus peuvent certainement exister.

L'un exploite une vulnérabilité pour déployer des fichiers malveillants sur le système de fichiers des appareils concernés.

De plus, comme on l'a vu dans une récente campagne touchant les appareils Fortinet (CVE-2022-40684), les attaquants peuvent exécuter du code à distance dans les appliances Fortinet pour atteindre l'un des objectifs suivants :

• Ouverture et téléchargement du fichier de configuration du dispositif
• Cela inclut, sans s'y limiter, les règles, les politiques, le filtrage, les noms d'utilisateur, les configurations de routage et les mots de passe chiffrés (chiffrés via la clé de chiffrement privée) en clair.
• Création de comptes d'administrateur privilégié
• Téléchargement et exécution de scripts

Potentiel d'exploitation à grande échelle

Selon le catalogue des vulnérabilités exploitées connues du CISA, les acteurs de la menace ont historiquement utilisé des vulnérabilités Fortinet similaires pour obtenir un accès initial et se déplacer latéralement dans l'environnement d'une organisation.

Nous supposons donc également que les pirates continueront à exploiter activement cette vulnérabilité à court terme pour accéder à des informations sensibles, telles que le fichier de configuration du dispositif.

Cela est dû à la facilité d'exploitation, au potentiel de charge utile et d'exécution et à la prévalence des dispositifs Fortinet affectés dans les environnements d'entreprise.