[MàJ] Vulnérabilité dans les produits Fortinet
Une gestion de version détaillée se trouve à la fin de ce document.
[Mise à jour du 28 janvier 2025] Une preuve de concept permettant l'exploitation de cette vulnérabilité est disponible publiquement.
Le 14 janvier 2025, Fortinet a publié un avis de sécurité concernant la vulnérabilité critique CVE-2024-55591 affectant FortiOS et FortiProxy. Elle permet à un attaquant distant non authentifié de contourner le mécanisme d'authentification de l'interface d'administration d'un équipement FortiOS ou FortiProxy et d'obtenir des privilèges super-administrateur via l'envoi de requêtes forgées au module websocket Node.js.
Le CERT-FR rappelle que l'exposition d'une interface d'administration sur Internet est contraire aux bonnes pratiques. Le CERT-FR recommande donc fortement d'appliquer le correctif dans les plus brefs délais. Fortinet indique que cette vulnérabilité est activement exploitée.
L'essentiel
- Une gestion de version détaillée se trouve à la fin de ce document. [Mise à jour du 28 janvier 2025] Une preuve de concept permettant l'exploitation de cette vulnérabilité est disponible publiquement.
- Le 14 janvier 2025, Fortinet a publié un avis de sécurité concernant la vulnérabilité critique CVE-2024-55591 affectant FortiOS et FortiProxy.
Faits relevés dans le texte officiel cité ci-dessus (Extrait du communiqué officiel — ANSSI, Licence Ouverte).
Quelles publications couvrent ce sujet ?
Comment ce sujet a-t-il été constitué ?
Les publications des sources suivies sur la rubrique Tech sont dédoublonnées par empreinte de titre sur une fenêtre de 72 heures, puis regroupées lorsqu'elles couvrent le même événement. Le compteur indique combien d'émetteurs distincts l'ont traité.
L'extrait cité en tête d'article est le texte officiel d'ouverture de la publication source, reproduit sans modification parce que son émetteur l'autorise expressément (Extrait du communiqué officiel — ANSSI, Licence Ouverte). Pour la presse et pour toute source sans autorisation vérifiée, fildactu.fr ne conserve que le titre tel que publié, le nom de l'éditeur, le lien d'origine et la date.