CERTFR-2020-ALE-025
Vulnerability from certfr_alerte

Le 24 mai 2019, l'éditeur Fortinet avait publié un avis de sécurité corrigeant la vulnérabilité CVE-2018-13379 qui affecte les systèmes FortiOS lorsque le service VPN SSL est activé. Cette vulnérabilité permet à des attaquants non authentifiés d'accéder aux fichiers systèmes via des requêtes HTTP spécialement conçues, leur donnant notamment accès à des informations sensibles tels que les comptes et mots de passe des utilisateurs.

Le CERT-FR a communiqué à différentes reprises sur cette vulnérabilité : avis CERTFR-2019-AVI-239 du 27 mai 2019 et bulletin d'actualité CERTFR-2019-ACT-008 du 28 août 2019. Cependant, cette vulnérabilité a été un vecteur d'attaque dans différents incidents.

Le CERT-FR a été averti de la diffusion sur Internet d'une liste d'équipements Fortinet potentiellement vulnérables, parmi laquelle se trouvent des équipements appartenant à des entités Françaises. Des codes d'exploitation ont été publiés et utilisés pour compromettre des serveurs VPN SSL Fortinet non protégés. Il semble que des accès aux systèmes d'information de victimes obtenus grâce à cette vulnérabilité sont déjà en vente sur des forums cybercriminels.

Solution

Le CERT-FR recommande fortement d'appliquer les dispositions suivantes :

  • Procéder sans attendre à la mise à jour des équipements Fortinet vers les versions les plus récentes en respectant la procédure de l'éditeur ;
  • Modifier les mots de passe des comptes utilisateurs du service VPN ;
  • Modifier les mots de passe des comptes d'administration et des comptes techniques des équipements ;
  • Révoquer et renouveler les certificats x509 déployés sur les équipements ;
  • Dans la mesure du possible, analyser les fichiers journaux afin de détecter une éventuelle compromission des équipements Fortinet ;
  • Investiguer toute suspicion de compromission au niveau de votre système d'information [1].

La mise à jour d’un produit ou d’un logiciel est une opération délicate qui doit être menée avec prudence. Il est notamment recommander d’effectuer des tests autant que possible. Des dispositions doivent également être prises pour garantir la continuité de service en cas de difficultés lors de l’application des mises à jour comme des correctifs ou des changements de version.

None
Impacted products
Vendor Product Description
Fortinet FortiOS FortiOS 6.0 versions 6.0.0 à 6.0.4
Fortinet FortiOS FortiOS 5.6 versions 5.6.3 à 5.6.7
Fortinet FortiOS FortiOS 5.4 versions 5.4.6 à 5.4.12
References

Show details on source website

To clipboard 

{
  "$ref": "https://www.cert.ssi.gouv.fr/openapi.json",
  "affected_systems": [
    {
      "description": "FortiOS 6.0 versions 6.0.0 \u00e0 6.0.4",
      "product": {
        "name": "FortiOS",
        "vendor": {
          "name": "Fortinet",
          "scada": false
        }
      }
    },
    {
      "description": "FortiOS 5.6 versions 5.6.3 \u00e0 5.6.7",
      "product": {
        "name": "FortiOS",
        "vendor": {
          "name": "Fortinet",
          "scada": false
        }
      }
    },
    {
      "description": "FortiOS 5.4 versions 5.4.6 \u00e0 5.4.12",
      "product": {
        "name": "FortiOS",
        "vendor": {
          "name": "Fortinet",
          "scada": false
        }
      }
    }
  ],
  "affected_systems_content": null,
  "closed_at": "2021-02-08",
  "content": "## Solution\n\nLe CERT-FR recommande fortement d\u0027appliquer les dispositions suivantes :\n\n-   Proc\u00e9der sans attendre \u00e0 la mise \u00e0 jour des \u00e9quipements Fortinet\n    vers les versions les plus r\u00e9centes en respectant la proc\u00e9dure de\n    l\u0027\u00e9diteur ;\n-   Modifier les mots de passe des comptes utilisateurs du service VPN ;\n-   Modifier les mots de passe des comptes d\u0027administration et des\n    comptes techniques des \u00e9quipements ;\n-   R\u00e9voquer et renouveler les certificats x509 d\u00e9ploy\u00e9s sur les\n    \u00e9quipements ;\n-   Dans la mesure du possible, analyser les fichiers journaux afin de\n    d\u00e9tecter une \u00e9ventuelle compromission des \u00e9quipements Fortinet ;\n-   Investiguer toute suspicion de compromission au niveau de votre\n    syst\u00e8me d\u0027information \\[1\\].\n\n------------------------------------------------------------------------\n\nLa mise \u00e0 jour d\u2019un produit ou d\u2019un logiciel est une op\u00e9ration d\u00e9licate\nqui doit \u00eatre men\u00e9e avec prudence. Il est notamment recommander\nd\u2019effectuer des tests autant que possible. Des dispositions doivent\n\u00e9galement \u00eatre prises pour garantir la continuit\u00e9 de service en cas de\ndifficult\u00e9s lors de l\u2019application des mises \u00e0 jour comme des correctifs\nou des changements de version.\n",
  "cves": [
    {
      "name": "CVE-2018-13379",
      "url": "https://www.cve.org/CVERecord?id=CVE-2018-13379"
    }
  ],
  "initial_release_date": "2020-11-27T00:00:00",
  "last_revision_date": "2021-02-08T00:00:00",
  "links": [
    {
      "title": "[1] Les bons r\u00e9flexes en cas d\u2019intrusion sur un syst\u00e8me d\u2019information",
      "url": "https://www.cert.ssi.gouv.fr/information/CERTA-2002-INF-002/"
    }
  ],
  "reference": "CERTFR-2020-ALE-025",
  "revisions": [
    {
      "description": "Version initiale",
      "revision_date": "2020-11-27T00:00:00.000000"
    },
    {
      "description": "Cl\u00f4ture de l\u0027alerte. Cela ne signifie pas la fin d\u0027une menace. Seule l\u0027application de la mise \u00e0 jour permet de vous pr\u00e9munir contre l\u0027exploitation de la vuln\u00e9rabilit\u00e9 correspondante.",
      "revision_date": "2021-02-08T00:00:00.000000"
    }
  ],
  "risks": [
    {
      "description": "Contournement de la politique de s\u00e9curit\u00e9"
    },
    {
      "description": "Atteinte \u00e0 la confidentialit\u00e9 des donn\u00e9es"
    }
  ],
  "summary": "Le 24 mai 2019, l\u0027\u00e9diteur Fortinet avait publi\u00e9 un avis de s\u00e9curit\u00e9\ncorrigeant la vuln\u00e9rabilit\u00e9 CVE-2018-13379 qui affecte les syst\u00e8mes\nFortiOS lorsque le service VPN SSL est activ\u00e9. Cette vuln\u00e9rabilit\u00e9\npermet \u00e0 des attaquants non authentifi\u00e9s d\u0027acc\u00e9der aux fichiers syst\u00e8mes\nvia des requ\u00eates HTTP sp\u00e9cialement con\u00e7ues, leur donnant notamment acc\u00e8s\n\u00e0 des informations sensibles tels que les comptes et mots de passe des\nutilisateurs.\n\nLe CERT-FR a communiqu\u00e9 \u00e0 diff\u00e9rentes reprises sur cette vuln\u00e9rabilit\u00e9 :\navis CERTFR-2019-AVI-239 du 27 mai 2019 et bulletin d\u0027actualit\u00e9\nCERTFR-2019-ACT-008 du 28 ao\u00fbt 2019. Cependant, cette vuln\u00e9rabilit\u00e9 a\n\u00e9t\u00e9 un vecteur d\u0027attaque dans diff\u00e9rents incidents.\n\nLe CERT-FR a \u00e9t\u00e9 averti de la diffusion sur Internet d\u0027une liste\nd\u0027\u00e9quipements Fortinet potentiellement vuln\u00e9rables, parmi laquelle se\ntrouvent des \u00e9quipements appartenant \u00e0 des entit\u00e9s Fran\u00e7aises. Des codes\nd\u0027exploitation ont \u00e9t\u00e9 publi\u00e9s et utilis\u00e9s pour compromettre des\nserveurs VPN SSL Fortinet non prot\u00e9g\u00e9s. Il semble que des acc\u00e8s aux\nsyst\u00e8mes d\u0027information de victimes obtenus gr\u00e2ce \u00e0 cette vuln\u00e9rabilit\u00e9\nsont d\u00e9j\u00e0 en vente sur des forums cybercriminels.\n\n\u00a0\n",
  "title": "Vuln\u00e9rabilit\u00e9 dans Fortinet FortiOS SSL-VPN",
  "vendor_advisories": [
    {
      "published_at": null,
      "title": "Bulletin de s\u00e9curit\u00e9 Fortinet FG-IR-18-384 du 24 mai 2019",
      "url": "https://www.fortiguard.com/psirt/FG-IR-18-384"
    },
    {
      "published_at": null,
      "title": "Avis CERT-FR CERTFR-2019-AVI-239 du 27 mai 2019",
      "url": "https://www.cert.ssi.gouv.fr/avis/CERTFR-2019-AVI-239/"
    },
    {
      "published_at": null,
      "title": "Bulletin CERT-FR CERTFR-2019-ACT-008 du 28 ao\u00fbt 2019",
      "url": "https://www.cert.ssi.gouv.fr/actualite/CERTFR-2019-ACT-008/"
    }
  ]
}


Log in or create an account to share your comment.




Tags
Taxonomy of the tags.




Sightings

Author Source Type Date

Nomenclature

  • Seen: The vulnerability was mentioned, discussed, or seen somewhere by the user.
  • Confirmed: The vulnerability is confirmed from an analyst perspective.
  • Published Proof of Concept: A public proof of concept is available for this vulnerability.
  • Exploited: This vulnerability was exploited and seen by the user reporting the sighting.
  • Patched: This vulnerability was successfully patched by the user reporting the sighting.
  • Not exploited: This vulnerability was not exploited or seen by the user reporting the sighting.
  • Not confirmed: The user expresses doubt about the veracity of the vulnerability.
  • Not patched: This vulnerability was not successfully patched by the user reporting the sighting.