Une faille zero-day exploitée dans les firewalls Fortinet

Les pare-feux FortiGate de Fortinet font actuellement l’objet d’attaques actives de la part de cyberpirates. Le fournisseur a confirmé l'existence d'une vulnérabilité critique de contournement d'authentification dans des versions spécifiques de ses pare-feux reposant sur FortiOS et FortiProxy. La Cisa, l'agence américaine de cyberdefense, a même émis un bulletin d'alerte avec des recommandations, de même que le Cert français. Selon la société de cybersécurité Arctic Wolf, cette faille a été exploitée depuis début décembre dans le cadre d'une campagne indiscriminée et massive. Le correctif pour cette vulnérabilité zero-day fait partie d'un cycle de mise à jour plus large de Fortinet, qui a publié des correctifs pour 29 vulnérabilités sur plusieurs produits, dont 14 affectent FortiOS, le système d'exploitation utilisé dans les pare-feux FortiGate. Certaines brèches concernent plusieurs produits partageant le même code, ce qui est le cas de la vulnérabilité zero-day désormais identifiée sous le nom de CVE-2024-55591.

Arctic Wolf à l'origine de l'alerte sur la campagne d'attaques

Bien que Fortinet ne crédite pas Arctic Wolf pour la découverte de la vulnérabilité, les indicateurs de compromission listés dans l'avis de sécurité correspondent à l'analyse de la campagne d'attaques signalée par Arctic Wolf en décembre et documentée plus en détail vendredi. En décembre, Arctic Wolf avait indiqué qu'il ignorait le vecteur d'attaque initial, mais soupçonnait fortement l'implication d'une faille zero-day. Après la publication de l'avis de Fortinet, Arctic Wolf a confirmé au média CSO (groupe IDG/Foundry) que la vulnérabilité CVE-2024-55591 était bien celle exploitée dans les attaques qu'elle avait observées et rapportées à Fortinet. "Au début du mois de décembre, les laboratoires Arctic Wolf ont observé un groupe d'intrusions affectant des dispositifs Fortinet, avec des dizaines de cas sur une courte période", a déclaré la société dans un email à CSO. "La plupart de ces intrusions se sont produites sur trois jours, mais la campagne s'est poursuivie dans les semaines suivantes."

Contournement d'authentification via Node.js

Fortinet décrit cette vulnérabilité comme un contournement d'authentification via un chemin ou un canal alternatif. L'exploitation réussie de cette faille permet à un attaquant distant d'obtenir des privilèges de superadministrateur en envoyant des requêtes spécifiquement conçues au module WebSocket de Node.js. Ce dernier, un environnement d'exécution JavaScript, est l'un des frameworks les plus populaires pour le développement d'applications basées sur JavaScript.

La vulnérabilité est classée critique avec un score CVSS de 9,6 et affecte les versions suivantes :

- FortiOS 7.0 : versions 7.0.0 à 7.0.16 ;

- FortiProxy 7.0 : versions 7.0.0 à 7.0.19 ;

- FortiProxy 7.2 : versions 7.2.0 à 7.2.12.

Les branches plus anciennes de FortiOS (comme 6.4) ou plus récentes (7.2, 7.4 et 7.6) ne sont pas affectées.

Comptes VPN malveillants et récupération de mots de passe

Selon les observations d'Arctic Wolf, les attaquants ont commencé à scanner les dispositifs vulnérables dès le 16 novembre, lorsqu'un grand nombre d'événements de connexion en tant qu'administrateur ont été observés dans la console JavaScript (jsconsole) des dispositifs ciblés. Cette console, une fonctionnalité de l'interface web de gestion de FortiOS, permet aux administrateurs d'accéder à l'interface de ligne de commande du système d'exploitation sous-jacent via un environnement web utilisant JavaScript. Cette fonctionnalité a déjà été exploitée lors d'attaques précédentes contre Fortinet, notamment dans le cadre d'un exploit de type "proof-of-concept" en 2023 pour la vulnérabilité CVE-2022-26118. Les événements de connexion observés par Arctic Wolf utilisaient des adresses IP sources usurpées, comme l'adresse de bouclage locale 127.0.0.1 ou des adresses IP publiques des résolveurs DNS de Google et Cloudflare : 1.1.1.1, 2.2.2.2, 8.8.8.8 et 8.8.4.4. Parfois, les attaquants oubliaient d'usurper leurs adresses sources, révélant des adresses associées à des fournisseurs de serveurs privés virtuels (VPS).

Après cette phase initiale de scan, qui impliquait des événements de connexion et de déconnexion très courts et semblait viser des organisations de divers secteurs sans distinction, les attaquants revenaient pour modifier les configurations, en commençant par un paramètre contrôlant l'affichage des sorties sur plusieurs pages dans la jsconsole, avant d'ajouter de nouveaux comptes superadmin avec des motifs de cinq ou six caractères. Ces comptes ont ensuite été utilisés pour créer jusqu'à six utilisateurs locaux par dispositif, en utilisant un schéma de nommage similaire et en les ajoutant à des groupes d'utilisateurs existants disposant d'un accès VPN SSL. Dans certains cas, ils ont détourné des comptes existants ou réinitialisé le mot de passe du compte invité pour les intégrer aux groupes VPN SSL.

"Les acteurs de la menace ont également été observés créant d'autres portails VPN SSL auxquels ils ajoutaient directement des comptes d'utilisateurs", ont écrit les chercheurs d'Arctic Wolf dans leur rapport. "De plus, certains attaquants attribuaient des ports spécifiques à leurs configurations de portails VPN, les changeant entre différentes sessions. Ces ports comprenaient 4433, 59449 et 59450, entre autres."

Mouvement latéral et extraction de données

Après ces modifications malveillantes, les attaquants établissaient des tunnels VPN SSL vers les dispositifs compromis, se connectant depuis des adresses IP provenant de quelques fournisseurs de VPS. Une fois dans le réseau, ils récupéraient des identifiants pour effectuer des mouvements latéraux et lançaient une attaque DCSync pour capturer des identifiants d'administrateurs de domaine. Cette attaque consiste à utiliser les commandes du protocole MS-DRSR (Microsoft Directory Replication Service Remote Protocol) pour se faire passer pour un contrôleur de domaine et obtenir des informations d'identification d'un autre contrôleur de domaine légitime. "Les intrusions que nous avons observées ne représentent qu'un échantillon limité par rapport au nombre total réel de dispositifs probablement affectés, mais les preuves indiquent une tentative d'exploiter un grand nombre de dispositifs sur une courte période", a déclaré Arctic Wolf à CSO.

Mesures de mitigation recommandées

Les rapports d'Arctic Wolf et les avis de Fortinet incluent des indicateurs de compromission. En guise de mesure temporaire, Fortinet recommande de désactiver l'interface d'administration HTTP/HTTPS ou de limiter les adresses IP autorisées à accéder à cette interface via des politiques locales, en suivant les étapes fournies dans l'avis de sécurité.