Très récemment, la société Fortinet a averti les utilisateurs de sa plateforme de gestion d’instances d’une faille de sécurité. Nommée « zero day », cette faille est activement exploitée par les cyberpirates pour avoir accès aux données et procéder à de l’espionnage.
Il y a peu de temps, Fortinet a découvert qu’une faille dans sa solution FortiManager est activement exploitée par des pirates. Cette dernière est l’outil qui gère les politiques de réseau et de sécurité de l’ensemble des solutions de l’entreprise. N’ayant pas perdu de temps, Fortinet a tout de suite prévenu les utilisateurs sur la faille en question, sous le code CVE-2024-47575. Très critique, elle est due à une « authentification manquante dans le daemon fgfm » selon la société. Suite à sa découverte, la CISA (Agence américaine pour la cybersécurité et la sécurité des infrastructures) l’a immédiatement ajouté à sa liste des vulnérabilités exploitées, soulignant la gravité de la situation.
Les failles de Fortinet menacent la confidentialité des projets
Pour un salarié porté et les professionnels du numérique, les failles de sécurité constituent des problèmes critiques, surtout lorsqu’ils travaillent sur des projets sensibles pour leurs clients. Dans le cas de la société Fortinet, qui a déjà publié un rapport sur l’incident, l’exploitation de la faille dans FortiManager est encore minime. D’après le rapport, les pirates se concentrent actuellement sur l’extraction de données depuis les terminaux gérés par FortiManager :
« Les actions identifiées de cette attaque dans la nature ont consisté à automatiser via un script l’exfiltration de divers fichiers du FortiManager contenant les IP, les identifiants et les configurations des dispositifs managés »
Les investigations menées par Fortinet n’ont pas encore révélé de porte dérobée ni de base de données modifiées à la suite de cette exploitation. Notons que les versions qui sont sous le coup de cette attaque incluent les versions 6.2, 6.4, 7.0, 7.2, 7.4 et 7.6 de FortiManager. Par ailleurs, la société a aussi indiqué que les versions 6.4, 7.0, 7.2 et 7.4 de FortiManager Cloud sont aussi touchées. Cela nécessite une mise à jour vers une version supérieure, sauf pour la version 6.4 qui doit être mise à jour vers l’une des versions 7 corrigées.
Des cyberattaques soutenues par des puissances étatiques
D’après les discussions sur les forums en ligne, il semblerait que Fortinet aurait été informé de la faille quelques jours avant son exploitation. La preuve, des échanges entre les utilisateurs de la plateforme Reddit le 18 octobre mentionnent une version de FortiManager qui aurait été diffusée sans mention de « problèmes résolus ».
Notons que Reddit regroupe différents types de professionnels, allant du salarié porté aux experts en cybersécurité, ce qui en fait un lieu d’échange d’informations précieux sur des failles de sécurité comme celles de Fortinet.
D’après un utilisateur de Reddit, une vulnérabilité aurait été divulguée aux clients, laquelle affecterait la version 7.2.7 et corrigée dans la version 7.2.8. Un expert en cybersécurité, qui suit la faille FortiJump depuis longtemps, a invité Fortinet à garder le secret sur cette vulnérabilité. D’ailleurs, le professionnel a mentionné sur son blog le fait que des puissances étatiques exploitent la vulnérabilité FortiJump de FortiManager pour des activités d’espionnage via des MSP.
Les vulnérabilités de Fortinet ont déjà été au cœur des débats car les pirates qui disposent d’un soutien étatique exploitent ces failles. En début d’année, la firme a déjà annoncé que plusieurs failles de sécurité étaient exploitées par Volt Typhoon – un groupe soutenu par la Chine à des fins d’espionnage numérique.