Découverte d’une faille de sécurité majeure dans Fortinet FortiManager : que faire ?
Faille de sécurité “FortiJump” dans Fortinet FortiManager : ce qu’il faut savoir
Selon un rapport récent de Mandiant, une nouvelle faille de sécurité baptisée “FortiJump” a été découverte dans Fortinet FortiManager et est exploitée depuis juin 2024 lors d’attaques.
La faille de sécurité et ses implications
La faille de sécurité FortiJump, identifiée sous la référence CVE-2024-47575, se trouve dans l’API FGFM (FortiGate to FortiManager Protocol) développée par Fortinet. Pour exploiter cette vulnérabilité, les cybercriminels doivent prendre le contrôle d’un équipement FortiManager ou FortiGate avec des certificats valides, leur permettant de s’enregistrer sur n’importe quelle instance FortiManager exposée. Ils peuvent alors exécuter des commandes à distance via l’API et accéder à des informations de configuration.
Mesures de protection et correctifs disponibles
Environ 60 000 serveurs FortiManager sont exposés en ligne dans le monde. Heureusement, des correctifs de sécurité sont disponibles pour contrer cette faille. Fortinet a également partagé des recommandations d’atténuation, telles que le filtrage par adresse IP sur les connexions ou le blocage de l’enregistrement des appareils inconnus en utilisant la commande set fgfm-deny-unknown enable.
Une vulnérabilité exploitée depuis juin 2024
Selon le rapport de Mandiant, un groupe de cybercriminels nommé UNC5820 exploite cette faille de sécurité depuis le 27 juin 2024. Les pirates ont accès à des informations sensibles telles que les configurations des appareils gérés, les mots de passe hachés FortiOS256, et se servent de ces données pour compromettre davantage le FortiManager et potentiellement d’autres dispositifs de l’environnement de l’entreprise.
Malgré cette menace, il semble que les attaquants se soient limités aux serveurs FortiManager lors des attaques observées. Mandiant n’a pas pu déterminer l’objectif précis du groupe UNC5820.
Il est important pour les utilisateurs de FortiManager de mettre à jour leur serveur ou d’ajuster leur configuration afin de se protéger contre d’éventuelles attaques liées à la CVE-2024-47575.
Source : www.it-connect.fr
