Origine: bjCSIRT
Numéro: 2021/ALERTE/035
Date de l’alerte: 20/08/2021
APERÇU :
Une vulnérabilité de type « zero-day » d’injection de commandes a été découverte dans l’interface de gestion FortiWeb de Fortinet. Son impact est jugé élevé étant donné qu’elle permettrait à un attaquant distant et authentifié d’exécuter des commandes arbitraires sur le système via la page de configuration du serveur SAML.
DESCRIPTION :
FortiWeb est un pare-feu d’application Web (WAF) qui protège les applications Web et les API contre les attaques et aide à maintenir la conformité aux règles du pare-feu. FortiWeb utilise un serveur SAML pour transmettre les informations d’identité à un fournisseur de services via un document XML signé pour l’authentification du client. La configuration du serveur SAML fournit une fonction qui utilise des commandes Linux. Cette fonction permet de déplacer des méta-fichiers vers des noms définis par l’utilisateur.
Toutefois, un attaquant pourrait injecter des commandes dans le champ de noms dédié aux commandes shell, que le système exécute sans vérification. De même, un attaquant, préalablement authentifié sur l’interface de gestion du périphérique FortiWeb, peut faire passer des commandes en utilisant des « backtiks » dans le champ « Name » de la page de configuration du serveur SAML. Les commandes sont ensuite exécutées en tant qu’utilisateur root du système d’exploitation sous-jacent.
Cette vulnérabilité pourrait être associée à une autre vulnérabilité de contournement d’authentification libellée CVE-2020-29015.
IMPACT :
- Élévation de privilèges
- Corruption système
- Exécution de code à distance
SYSTEMES AFFECTÉS :
- Fortinet Fortiweb (version 6.4.0 et antérieures).
MESURES À PRENDRE :
Il est fortement recommandé de désactiver l’interface de gestion du FortiWeb. Elle ne devrait être accessible que via des réseaux internes fiables ou une connexion VPN sécurisée.
REFERENCES :
- https://www.rapid7.com/blog/post/2021/08/17/fortinet-fortiweb-os-command-injection/
- https://www.fortiguard.com/psirt/FG-IR-21-116
Partagez sur vos réseaux.