Activités de post-exploitation dans Fortinet FortiGate
ANSSI — Licence Ouverte / Etalab 2.0. Publication d'origine, 11 avril 2025.
L'essentiel
- Fortinet a publié le 10 avril 2025 un billet de blogue [1] indiquant l'utilisation d'une technique de post-exploitation qui permet une atteinte à la confidentialité des données de l'ensemble du système des équipements Fortigate affectés.
Phrases relevées telles quelles dans le texte officiel reproduit ci-dessous (ANSSI, Licence Ouverte / Etalab 2.0).
Texte officiel intégral
Ci-dessous, le corps complet de la publication de ANSSI, reproduit sans modification. La Licence Ouverte / Etalab 2.0 en autorise expressément la reproduction, à la seule condition d'en mentionner la paternité.
L'éditeur indique que les clients qui n'ont jamais activé la fonctionnalité de SSL-VPN ne sont pas impactés.
Résumé
Fortinet a publié le 10 avril 2025 un billet de blogue [1] indiquant l'utilisation d'une technique de post-exploitation qui permet une atteinte à la confidentialité des données de l'ensemble du système des équipements Fortigate affectés. Cette technique repose sur l'utilisation d'un lien symbolique déposé sur le système à la suite d'une compromission de l'équipement par exploitation, entre autres, des vulnérabilités CVE-2022-42475 [2], CVE-2023-27997 [3] ou CVE-2024-21762 [4].
Le CERT-FR a connaissance d'une campagne massive, avec de nombreux équipements compromis en France. Lors d'opérations de réponse à incident, le CERT-FR a pris connaissance de compromissions ayant eu lieu dès le début de l'année 2023.
Solutions
L'éditeur a publié des versions correctives pour les branches 6.4.x, 7.0.x, 7.2.x, 7.4.x et 7.6.x. La mise à jour vers une de ces versions supprime les fichiers malveillants. Dans le cas de l'utilisation d'une version qui n'est plus supportée, le CERT-FR recommande fortement de migrer vers une version corrective.
Pour les utilisateurs avec un contrat de support et une licence IPS activée, l'éditeur a supprimé automatiquement les fichiers malveillants. Le CERT-FR a connaissance de nombreux équipements pour lesquels ces conditions ne sont pas réunies.
L'éditeur a indiqué avoir contacté les clients avec des équipements compromis. Le CERT-FR invite les propriétaires d'équipements à consulter les adresses de messageries pouvant avoir été contactées par Fortinet ou à relayer cette demande aux gestionnaires de l'équipement si cela est applicable.
Cependant, la simple suppression de ces éléments et l'application des mises à jour n'est pas suffisante en cas de compromission. Dans cette situation:
- isoler les équipements compromis du réseau et réaliser un gel de données (instantané pour les machines virtuelles, isolement de l’équipement s’il s’agit d’un équipement physique) à des fins d’investigations approfondies ;
- réinitialiser tous les secrets de façon générale (mot de passe, certificat, etc.) configurés sur les équipements affectés ;
- réinitialiser tous les secrets d’authentification susceptibles d’avoir transités sur les équipements affectés (si applicable) : mots de passe, jetons d'identité, clés cryptographiques...;
- rechercher toutes traces de latéralisation sur le reste du système d’information, notamment : en cherchant les connexions ou tentatives de connexion vers Internet depuis l'équipement compromis ;
- puis en cherchant ces adresses IP de destination pour vérifier si d’autres machines ont tenté une connexion ;
- en analysant les journaux des EDR ou les journaux Windows pour identifier des connexions depuis l'équipement compromis.
- identifier les comptes du domaine Active Directory qui seraient configurés sur l'équipement suspecté puis : vérifier l'activité réalisée à partir de ce compte ;
- réinitialiser les secrets associés à ces comptes afin d'éviter que l'attaquant ne puisse réutiliser ailleurs les identifiants éventuellement obtenus sur l'équipement.
Le CERT-FR vous recontactera si nécessaire pour le traitement de l’incident ou vous communiquera des éléments supplémentaires. En cas de suspicion de compromission, il est recommandé de consulter les bons réflexes en cas d'intrusion sur votre système d'information [5].
Fin du texte officiel repris
Source :ANSSI, publié le — Licence Ouverte / Etalab 2.0.
Consulter la publication d'originehttps://www.cert.ssi.gouv.fr/alerte/CERTFR-2025-ALE-004/
Texte reproduit dans son intégralité. La mention de la source et de sa date de dernière mise à jour est la seule condition posée par la Licence Ouverte / Etalab 2.0 ; elle ne confère aucun caractère officiel à cette reprise et ne vaut ni reconnaissance ni caution de fildactu.fr par l'émetteur.
Sources
Sujets liés
Comment ce sujet a-t-il été constitué ?
Les publications des sources suivies sur la rubrique Tech sont dédoublonnées par empreinte de titre sur une fenêtre de 72 heures, puis regroupées lorsqu'elles couvrent le même événement. Le compteur indique combien d'émetteurs distincts l'ont traité.
Le texte encadré plus haut est le corps de la publication de ANSSI, repris dans son intégralité et sans modification. La Licence Ouverte / Etalab 2.0 sous laquelle cet organisme diffuse ses informations concède « un droit non exclusif et gratuit de libre réutilisation », dont celui « de la communiquer, la reproduire, la copier » et « de l'exploiter à titre commercial », sous la seule réserve d'en « mentionner la paternité » — la source et la date de dernière mise à jour, portées en tête et en pied du texte, avec le lien vers l'original. La mise en page — chapô détaché, intertitres, sommaire — est de fildactu.fr ; les mots sont ceux de l'émetteur, et pas un n'a été ajouté, retiré ni reformulé. Pour la presse et pour toute source sans autorisation vérifiée, fildactu.fr ne conserve que le titre tel que publié, le nom de l'éditeur, le lien d'origine et la date.