Fortinet a corrigé une série de vulnérabilités de sécurité affectant plusieurs de ses produits de sécurité des terminaux.

Le géant californien de la cybersécurité, qui représente plus d’un tiers de tous les envois de pare-feu et de gestion unifiée des menaces dans le monde, publié un grand nombre de mises à jour de micrologiciels et de logiciels mardi (5 juillet).

Un quatuor de failles de gravité élevée comprend plusieurs bogues de traversée de chemin relatif dans l’interface de gestion de FortiDeceptor, qui fait tourner des machines virtuelles qui servent de pots de miel pour les intrus du réseau (CVE-2022-30302).

CONSEILLÉ Un bogue OpenSSL de gravité élevée peut entraîner l’exécution de code à distance

L’abus de ceux-ci « peut permettre à un attaquant distant et authentifié de récupérer et de supprimer des fichiers arbitraires du système de fichiers sous-jacent via des requêtes Web spécialement conçues », selon le Fortinet correspondant. consultatif.

De même, les attaquants pourraient obtenir une élévation des privilèges dans les versions Windows de la protection des points de terminaison et du produit VPN FortiClient via la traversée de chemin dans le canal nommé responsable du service FortiESNAC (CVE-2021-41031).

La solution de contrôle d’accès au réseau FortiNAC, quant à elle, souffrait d’une « vulnérabilité de mot de passe vide dans le fichier de configuration » par laquelle un attaquant authentifié pouvait accéder aux bases de données MySQL via l’interface de ligne de commande (CLI) (CVE-2022-26117).

Bogues supplémentaires

L’autre problème de gravité élevée, qui s’applique à l’appliance d’analyse des événements de sécurité FortiAnalyzer, au dispositif de gestion de réseau FortiManager, au système d’exploitation FortiOS et au proxy Web FortiProxy, « peut permettre à un attaquant privilégié d’exécuter un code ou une commande arbitraire via une CLI spécialement conçue ‘exécuter la restauration image’ et ‘execute certificate remote’ avec le protocole TFTP » (CVE-2021-43072).

Les problèmes de gravité moyenne dans le lot de correctifs incluent des vulnérabilités d’injection SQL dans le contrôleur de livraison d’applications FortiADC (CVE-2022-26120) et une vulnérabilité d’injection de commande du système d’exploitation dans la CLI dans FortiAnalyzer et FortiManager (CVE-2022-27483).

Pendant ce temps, des problèmes de script intersite (XSS) dans la solution de sécurité des terminaux FortiEDR (CVE-2022-29057) ; un bogue d’escalade de privilèges dans FortiManager et FortiAnalyzer (CVE-2022-26118) ; et les débordements de tampon basés sur la pile dans les commandes CLI de diagnostic affectant FortiOS et FortiProxy (CVE-2021-44170).

Le sixième et dernier problème de gravité moyenne est un débordement d’entier dans le démon dhcpd impactant FortiOS, FortiProxy, les commutateurs Ethernet FortiSwitch, le système de vidéosurveillance FortiRecoder et le système de communication FortiVoiceEnterprise (CVE-2021-42755).

Enfin et surtout, en termes de menace, il y a une vulnérabilité XSS de faible gravité affectant FortiOS (CVE-2022-23438).