Fortinet - CVE-2024-21762

Date de publication :

Date de mise à jour :

Un défaut de vérification de données saisies par l’attaquant dans le SSL-VPN de FortiOS permet à un attaquant non authentifié, en envoyant des requêtes spécifiquement forgées, d’exécuter du code arbitraire.

Informations

La faille est activement exploitée : Oui

Un correctif existe : Oui

Une mesure de contournement existe : Oui

Risques

Exécution de code arbitraire

Exploitation

La vulnérabilité exploitée est du type
CWE-787 : Out-of-bounds Write

Détails sur l'exploitation
•    Vecteur d'attaque : Réseau
•    Complexité de l'attaque : Faible
•    Privilèges nécessaires pour réaliser l'attaque : Aucun
•    Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Non
•    L'exploitation de la faille permet d'obtenir des droits privilégiés : Non

Preuve de concept
Actuellement, aucune preuve de concept n'est disponible en sources ouvertes.

Systèmes ou composants affectés

FortiOS

FortiOS versions 6.x
FortiOS versions comprises entre 6.2.0 et 6.2.15 (incluse)
FortiOS versions comprises entre 6.4.0 et 6.4.14 (incluse)
FortiOS versions comprises entre 7.0.0 et 7.0.13 (incluse)
FortiOS versions comprises entre 7.2.0 et 7.2.6 (incluse)
FortiOS versions comprises entre 7.4.0 et 7.4.2 (incluse)

FortiProxy

FortiProxy 1.0 toutes versions
FortiProxy 1.1 toutes versions
FortiProxy 1.2 toutes versions 
FortiProxy versions comprises entre 2.0.x et 2.0.13 (incluse)
FortiProxy versions comprises entre 7.0.x et 7.0.14 (incluse)
FortiProxy versions comprises entre 7.2.x et 7.2.8 (incluse)
FortiProxy versions comprises entre 7.4.x et 7.4.2 (incluse)

Contournement provisoire

Si le correctif ne peut pas être déployé, il est recommandé de désactiver la fonctionnalité SSL-VPN.

Solutions ou recommandations

Mettre à jour FortiOS vers la version 6.2.16, 6.4.15, 7.0.14, 7.2.7, 7.4.3, 7.6 ou ultérieure.

Mettre à jour FortiProxy vers la version 2.0.14, 7.0.15, 7.2.9, 7.4.3 ou ultérieure.

Des informations complémentaires sont disponibles dans le bulletin de Fortinet.