Fortinet - CVE-2023-27997
Date de publication :
Date de mise à jour :
Un défaut de contrôle de la mémoire dans la fonctionnalité SSL-VPN de FortiOS permet à un attaquant non authentifié, en envoyant des requêtes spécifiquement forgées, d’exécuter du code arbitraire sur le système.
Informations
La faille est activement exploitée : Oui
Un correctif existe : Oui
Une mesure de contournement existe : Non
Exécution de code arbitraire
Exploitation
La vulnérabilité exploitée est du type
CWE-122: Heap-based Buffer Overflow
Détails sur l'exploitation
• Vecteur d'attaque : Réseau
• Complexité de l'attaque : Faible
• Privilèges nécessaires pour réaliser l'attaque : Aucun
• Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Non
• L'exploitation de la faille permet d'obtenir des droits privilégiés : Non
Preuve de concept
Une preuve de concept est disponible en sources ouvertes.
Systèmes ou composants affectés
FortiOS
Versions antérieures à 6.0.17
Versions comprises entre 6.2.0 et 6.2.13 (incluses)
Versions comprises entre 6.4.0 et 6.4.12 (incluses)
Versions comprises entre 7.0.0 et 7.0.11 (incluses)
Versions comprises entre 7.2.0 et 7.2.4 (incluses)
FortiOS-6K7K
Version 6.0.10
Versions comprises entre 6.0.12 et 6.0.16 (incluses)
Version 6.2.4
Versions comprises entre 6.2.6 et 6.2.7 (incluses)
Versions comprises entre 6.2.9 et 6.2.13 (incluses)
Version 6.4.2
Version 6.4.6
Version 6.4.8
Version 6.4.10
Version 6.4.12
Version 7.0.5
Version 7.0.10
FortiProxy
Versions 1.1.x
Versions 1.2.x
Versions comprises entre 2.0.0 et 2.0.12 (incluses)
Versions comprises entre 7.0.0 et 7.0.9 (incluses)
Versions comprises entre 7.2.0 et 7.2.3 (incluses)
Solutions ou recommandations
- Mettre à jour FortiOS vers la version 6.0.17, 6.2.14, 6.4.13, 7.0.12, 7.2.5 ou ultérieure.
- Mettre à jour FortiOS-6K7K vers la version 6.0.17, 6.2.15, 6.4.13, 7.0.12 ou ultérieure.
- Mettre à jour FortiProxy vers la version 7.0.10, 7.2.4 ou ultérieure.
- Des informations complémentaires sont disponibles dans le bulletin de Fortinet.
Pour détecter l’exploitation de la vulnérabilité, il est recommandé de
- Vérifier l’arrêt inopiné du processus /bin/sslvpnd. (Ce seul comportement n’est pas symptomatique de l’exploitation de la faille).
- Analyser dans les journaux d’activités les requêtes (GET et POST) vers les ressources /remote/logincheck et /remote/hostcheck_validate.
- Vérifier la présence de requêtes HTTP contenant la variable enc, (exemple : variable enc dans la requête /remote/hostcheck_validate?enc=value.
- Des informations complémentaires sur le fonctionnement et l’exploitation de cette vulnérabilité sont disponibles dans le bulletin publié par Lexfo.