CVE-2024-55591 : Zero-Day de contournement d'authentification Fortinet FortiGate

Une vulnérabilité critique de contournement d'authentification dans Fortinet FortiOS et FortiProxy permet à un attaquant distant non authentifié d'obtenir des privilèges super-admin via des requêtes forgées sur le module websocket Node.js. CVSS 9.6. Exploitée par des acteurs de menace depuis novembre 2024, avant divulgation.

Qu'est-ce que CVE-2024-55591 ?

CVE-2024-55591 est une vulnérabilité de contournement d'authentification dans le système d'exploitation FortiOS de Fortinet (qui alimente les pare-feu FortiGate) et la passerelle web FortiProxy. La vulnérabilité provient d'une gestion incorrecte de l'authentification dans le module websocket basé sur Node.js de l'interface de gestion.

Un attaquant non authentifié pouvant atteindre l'interface de gestion de FortiGate peut forger une requête websocket au format spécial qui contourne entièrement l'authentification, lui accordant un accès super-administrateur. Avec cet accès super-admin, les attaquants peuvent modifier les règles du pare-feu, créer de nouveaux comptes admin, extraire des identifiants VPN et pivoter vers des segments réseau protégés.

Produits concernés

Analyse technique

L'interface de gestion de FortiOS expose une interface web et une API sur le port 443 (et parfois 8443). Le module websocket Node.js qui gère certaines fonctions de gestion en temps réel contient une vérification d'authentification pouvant être contournée en envoyant des requêtes avec une combinaison spécifique d'en-têtes forgés que le middleware d'authentification interprète à tort comme déjà validés.

# Structure de la requête de preuve de concept (nettoyée)
GET /api/v2/cmdb/system/admin HTTP/1.1
Host: fortigate.target.com
Upgrade: websocket
Connection: Upgrade
X-Forwarded-For: 127.0.0.1
[en-têtes forgés de contournement d'authentification]

# Un contournement réussi renvoie un accès complet à l'API d'administration
HTTP/1.1 200 OK
{"results": [{"name":"admin","accprofile":"super_admin",...}]}

Activité post-exploitation observée

Les équipes de réponse à incident d'Arctic Wolf et de Fortinet ont documenté des schémas cohérents d'activité post-exploitation :

• Création de nouveaux comptes admin locaux (souvent des chaînes aléatoires de 6 à 8 caractères)
• Ajout de portails SSL VPN contrôlés par l'attaquant à l'interface de gestion
• Modification des paramètres de tunnel VPN pour autoriser le split tunneling vers les réseaux d'entreprise
• Exportation des configurations de politique du pare-feu pour énumérer la topologie du réseau interne
• Installation d'un accès persistant via une configuration de démarrage modifiée

Détection

Analyse des journaux FortiGate

# Vérifier la création inattendue de comptes admin
get system admin | grep -A5 "edit "

# Passer en revue les événements de connexion récents pour détecter des anomalies
execute log filter category 1
execute log filter field action login
execute log display

# Vérifier les ajouts non autorisés de portails VPN
show vpn ssl settings | grep -i "tunnel-mode\|host\|realm"

Indicateurs de compromission

• Comptes admin aux noms d'apparence aléatoire (par ex. Gujd, Trca)
• Nouveaux portails VPN ajoutés à la configuration SSL VPN
• Modifications inattendues de la politique du pare-feu dans les journaux
• Connexions WebSocket vers des points d'accès /api/v2/ sans authentification préalable

Atténuation

1. Corriger immédiatement : mettez à niveau vers FortiOS 7.0.17+, 7.2.11+, ou FortiProxy 7.0.20+, 7.2.13+
2. Désactiver l'accès de gestion HTTP/HTTPS : utilisez config system interface / set allowaccess ping ssh et retirez https des interfaces exposées à Internet
3. Restreindre l'accès de gestion par IP source : utilisez la configuration d'hôtes de confiance pour limiter la gestion à des IP admin spécifiques
4. Auditer les comptes admin : supprimez tout compte inattendu et faites pivoter tous les identifiants admin
5. Revoir la configuration VPN : vérifiez qu'aucun portail ou tunnel non autorisé n'a été ajouté
6. Activer la journalisation vers le SIEM : assurez-vous que tous les événements de gestion sont transmis à la journalisation centralisée

Capacité de détection KENSAI

• Détection d'exposition externe : KENSAI identifie les interfaces de gestion FortiGate exposées à Internet et signale les plages de versions vulnérables à CVE-2024-55591
• Sonde d'authentification sûre : un test non destructif confirme le contournement d'authentification sans créer de comptes ni modifier de configurations
• Inventaire des actifs : cartographie complète de tous les appareils Fortinet dans votre surface d'attaque
• Indicateurs de compromission : détection d'IOC post-exploitation via intégration à l'analyse de journaux
• Validation de la remédiation : une nouvelle analyse automatisée confirme l'application des correctifs et la restriction de l'interface de gestion