Fortinet a corrigé deux failles critiques dans FortiNAC et FortiWeb

Fortinet, spécialiste des solutions de sécurité, a mis en ligne un correctif de sécurité pour deux de ses produits : FortiNAC et FortiWeb, dans le but de corriger des failles de sécurité critiques !

FortiNAC et la faille de sécurité CVE-2022-39952

Tout d'abord, parlons de la CVE-2022-39952 découverte dans les produits FortiNAC de Fortinet et qui hérite d'un score CVSS de 9,8 sur 10 ! D'après le bulletin de sécurité de l'éditeur, cette vulnérabilité correspond à la technique CWE-73 du référentiel du MITRE permettant un contrôle externe du nom du fichier ou du chemin d'accès, ce qui permettrait à un attaquant non authentifié d'effectuer des écritures arbitraires sur le système.

Voici toutes les versions affectées par cette faille de sécurité :

  • FortiNAC version 9.4.0
  • FortiNAC version 9.2.0 à 9.2.5
  • FortiNAC version 9.1.0 à 9.1.7
  • FortiNAC 8.8
  • FortiNAC 8.7 (toutes les versions)
  • FortiNAC 8.6 (toutes les versions)
  • FortiNAC 8.5 (toutes les versions)
  • FortiNAC 8.3 (toutes les versions)

Ainsi, vous devez mettre à jour votre solution de sécurité FortiNAC pour être protégé contre cette vulnérabilité, en utilisant l'une des versions suivantes : 9.4.1, 9.2.6, 9.1.8 ou 7.2.0.

FortiWeb et la faille de sécurité CVE-2021-42756

La seconde vulnérabilité, qui est en fait un ensemble de failles de sécurité, est associée à la référence CVE-2021-42756 et elle affecte les produits FortiWeb. Elle hérite d'un score CVSS de 9,3 sur 10. Il est intéressant de noter que cette faille est associée à l'année "2021" (d'après la référence CVE) mais qu'elle n'a pas été divulguée pendant tout ce temps !

Pour rappel, FortiWeb est une solution de protection pour les applications Web et les API afin de détecter et bloquer différentes attaques (SQL injections, XSS, DDoS, attaques par bot, etc.).

Dans le bulletin de sécurité dédié à ces failles de sécurité, Fortinet précise qu'elles "peuvent permettre à un attaquant distant non authentifié d'exécuter un code arbitraire via des requêtes HTTP spécifiquement conçues.".

Là encore, plusieurs versions de FortiWeb sont affectées :

  • FortiWeb versions 5.x (toutes les versions)
  • FortiWeb versions 6.0.7 et inférieures
  • FortiWeb versions 6.1.2 et inférieures
  • FortiWeb versions 6.2.6 et inférieures
  • FortiWeb versions 6.3.16 et inférieures
  • FortiWeb versions 6.4 (toutes les versions)

Pour vous protéger contre cette menace, vous devez utiliser l'une des versions suivantes : 7.0.0, 6.3.17, 6.2.7, 6.1.3, ou 6.0.8.

À vos mises à jour !

Source

Partagez cet article Partager sur Twitter Partager sur Facebook Partager sur Linkedin Partager sur Google+ Envoyer par mail

Florian BURNEL

Ingénieur système et réseau, cofondateur d'IT-Connect et Microsoft MVP "Cloud and Datacenter Management". Je souhaite partager mon expérience et mes découvertes au travers de mes articles. Généraliste avec une attirance particulière pour les solutions Microsoft et le scripting. Bonne lecture.

Nombre de posts de cet auteur : 5556.Voir tous les posts

Laisser un commentaire

Votre adresse e-mail ne sera pas publiée. Les champs obligatoires sont indiqués avec *

Ce site utilise Akismet pour réduire les indésirables. En savoir plus sur comment les données de vos commentaires sont utilisées.