Fortinet

Selon l’extrait fourni, des acteurs malveillants exploitent des failles critiques dans plusieurs produits Fortinet afin d’obtenir un accès non autorisé aux comptes administrateur et de dérober des fichiers de configuration système. 🚨 Des hackers mènent une exploitation active de vulnérabilités critiques touchant plusieurs produits Fortinet. L’objectif principal est l’accès non autorisé à des comptes administrateur et le vol de fichiers de configuration. 1) Fait principal Des hackers exploitent activement deux vulnérabilités critiques affectant plusieurs produits Fortinet. Objectif : obtenir un accès administrateur et exfiltrer les fichiers de configuration système. Les attaques sont observées depuis le 12 décembre, soit quelques jours après l’alerte officielle de Fortinet (9 décembre). 2) Vulnérabilités exploitées 🔴 CVE-2025-59718 Type : contournement d’authentification FortiCloud SSO Produits affectés : FortiOS FortiProxy FortiSwitchManager Cause : mauvaise vérification cryptographique des signatures SAML Impact : connexion possible sans authentification valide via une assertion SAML malveillante 🔴 CVE-2025-59719 Type : contournement d’authentification FortiCloud SSO Produit affecté : FortiWeb Cause : faille similaire dans la validation des signatures SAML Impact : accès administrateur non authentifié via SSO forgé 📌 Les deux failles ne sont exploitables que si FortiCloud SSO est activé ⚠️ Cette option n’est pas activée par défaut, mais elle l’est automatiquement lors de l’enregistrement via FortiCare, sauf désactivation explicite. ...

Selon watchTowr Labs, une vulnérabilité non nommée et sans identifiant public affecte Fortinet FortiWeb et serait exploitée activement, signalée initialement par l’équipe Defused; des tests internes de watchTowr indiquent qu’un correctif “silencieux” semble présent en version 8.0.2, bien que les notes de version n’en fassent pas mention. L’analyse détaille une combinaison de deux failles: traversée de chemin dans l’URI de l’API FortiWeb permettant d’atteindre l’exécutable CGI interne fwbcgi, puis contournement d’authentification via l’en-tête HTTP_CGIINFO. Le composant fwbcgi effectue un contrôle d’entrée minimal (JSON valide) et une phase d’“authentification” qui, en réalité, impersonne l’utilisateur fourni par le client via un JSON Base64 (champs username, profname, vdom, loginname), conférant ensuite les privilèges correspondants dans cgi_process(). ...

Selon WatchTowr Labs, une vulnérabilité critique CVE-2025-25256 affecte FortiSIEM (versions 5.4 à 7.3.1), permettant une injection de commandes pré-authentification via le composant phMonitor exposé sur le port 7900, avec un risque de compromission complète du SIEM. Le problème réside dans l’usage non sûr de ShellCmd::addParaSafe dans la fonction handleStorageArchiveRequest du binaire C++ phMonitor. Des payloads XML malveillants peuvent injecter des commandes dans les champs archive_nfs_server_ip ou archive_nfs_archive_dir, lorsque archive_storage_type est défini sur « nfs » et que les deux paramètres (IP et répertoire) sont fournis. ...

Selon BleepingComputer, un chercheur en sécurité a mis en ligne un proof-of-concept (PoC) partiel pour une vulnérabilité affectant le pare-feu applicatif web FortiWeb de Fortinet, permettant à un attaquant distant de contourner l’authentification. Nature de la faille: bypass d’authentification. Impact: accès non autorisé à distance potentiel sur des instances FortiWeb. Degré de publication: PoC partiel (preuve de concept), démontrant la faisabilité de l’exploitation. Le produit concerné est le WAF FortiWeb. L’information se concentre sur l’existence du PoC et l’impact possible du contournement d’authentification, sans autres détails publics dans l’extrait. ...

Selon Darktrace, une campagne multi‑phases cible les appliances FortiGate via trois vulnérabilités critiques SSL‑VPN permettant une exécution de code à distance sans authentification, avec un enchaînement allant de la compromission initiale à l’escalade de privilèges et à l’accès RDP. • Vulnérabilités exploitées et impact: les failles CVE‑2022‑42475 et CVE‑2023‑27997 (dépassement de tampon sur le tas) et CVE‑2024‑21762 (écriture hors limites dans le démon sslvpnd) sont utilisées pour obtenir une RCE sans authentification sur FortiOS SSL‑VPN et accéder de façon non autorisée à des FortiGate. ...

Selon BleepingComputer, Fortinet met en garde contre une vulnérabilité critique affectant FortiSIEM, pour laquelle du code d’exploitation circule déjà. ⚠️ Problème signalé: faille d’injection de commandes à distance non authentifiée dans FortiSIEM. Selon l’alerte, du code d’exploit est déjà « in the wild », ce qui accroît le risque d’abus. 🛠️ Mesure mise en avant: Fortinet souligne qu’il est crucial d’appliquer les dernières mises à jour de sécurité disponibles pour les produits concernés. ...

Source: GreyNoise — Dans un billet d’analyse, GreyNoise signale un pic significatif de tentatives de bruteforce visant les VPN SSL Fortinet, avec plus de 780 IPs uniques observées en une seule journée, le volume le plus élevé depuis plusieurs mois. Deux vagues d’attaque ont été identifiées: une campagne continue et une poussée concentrée débutée le 5 août, chacune présentant des signatures TCP distinctes. À l’aide du fingerprinting JA4+, les chercheurs ont suivi une évolution des cibles allant de FortiOS vers FGFM (FortiManager). ...

Cet article de Trend Micro met en lumière les activités du groupe APT UNC3886, qui cible les infrastructures critiques dans les secteurs des télécommunications, gouvernement, technologie et défense, avec un focus récent sur Singapour. UNC3886 utilise des vulnérabilités zero-day dans les systèmes VMware vCenter/ESXi, Fortinet FortiOS et Juniper pour mener des attaques sophistiquées. Ils déploient un ensemble d’outils personnalisés pour maintenir un accès persistant et contourner les défenses avancées. Les outils utilisés incluent le backdoor TinyShell basé sur Python pour un accès à distance via HTTP/HTTPS, le rootkit Reptile pour le masquage de processus/fichiers et les capacités de port knocking, et le rootkit Medusa pour les portes dérobées PAM et la journalisation des authentifications. ...

Selon une alerte privée de PRODAFT partagée avec BleepingComputer, l’opération de ransomware Qilin a récemment intégré des attaques utilisant deux vulnérabilités Fortinet permettant de contourner l’authentification sur des appareils vulnérables et d’exécuter du code malveillant à distance. Phantom Mantis a lancé une campagne d’intrusion coordonnée ciblant plusieurs organisations entre mai et juin 2025. Cette campagne repose sur l’exploitation de plusieurs vulnérabilités FortiGate, notamment CVE-2024-21762 et CVE-2024-55591. Les vulnérabilités exploitées permettent aux attaquants de contourner les mesures de sécurité sur les appareils Fortinet, facilitant ainsi l’accès non autorisé et l’exécution de code malveillant. Cette méthode d’attaque souligne l’importance de maintenir les systèmes à jour avec les derniers correctifs de sécurité. ...

L’article publié par Jimi Sebree dans Attack Blogs le 22 mai 2025, détaille une vulnérabilité critique, CVE-2025-32756, affectant divers produits Fortinet tels que FortiCamera, FortiMail, FortiNDR, FortiRecorder et FortiVoice. Cette vulnérabilité est un débordement de tampon basé sur la pile dans l’API administrative, ce qui peut mener à une exécution de code à distance non authentifiée. FortiGuard Labs a publié un avis sur cette vulnérabilité le 13 mai 2025, et elle a été ajoutée au catalogue CISA KEV le lendemain, indiquant qu’elle est déjà exploitée dans la nature. L’analyse technique a révélé que la vulnérabilité réside dans une bibliothèque partagée, notamment dans la fonction cookieval_unwrap() de libhttputil.so, où l’absence de vérification de taille pour le champ AuthHash entraîne un débordement de tampon. ...