Fortinet : vulnérabilités et exploitation réseau

Fortinet est un éditeur majeur de solutions de sécurité réseau. Ses produits phares — FortiGate, FortiOS, FortiProxy, FortiManager — sont déployés massivement en entreprise pour filtrer le trafic, terminer les VPN SSL et segmenter les réseaux. Cette exposition massive en fait des cibles de choix pour les attaquants. Les vulnérabilités Fortinet les plus critiques touchent généralement le démon SSLVPN de FortiOS, exposé directement sur Internet. Les failles de type path traversal (CVE-2018-13379), d'exécution de code à distance pré-authentifiée (CVE-2022-40684, CVE-2023-27997) ou d'injection de commandes permettent à un attaquant non authentifié de lire des fichiers sensibles, voler des sessions VPN actives, ou prendre le contrôle complet d'un équipement. La surface d'attaque est amplifiée par la fréquence des déploiements avec l'interface d'administration exposée sur Internet, contrairement aux recommandations de l'éditeur. Ces équipements occupent une position stratégique dans le réseau : compromettre un FortiGate, c'est potentiellement accéder à l'ensemble du trafic interne et aux routes vers des segments critiques.

La détection d'une exploitation Fortinet repose sur plusieurs niveaux de supervision. Côté logs FortiOS, les événements de type 'ssl-login-fail' répétés sur le portail SSLVPN signalent une tentative de brute-force ou d'énumération. Les accès anormaux à l'URI '/remote/fgt_lang?lang=../../../../' sont caractéristiques du path traversal CVE-2018-13379. Côté SIEM, les règles de corrélation doivent alerter sur tout accès HTTP 200 vers les endpoints '/api/v2/cmdb/' sans authentification préalable, signature d'exploitation de CVE-2022-40684. L'analyse des logs d'authentification révèle des connexions depuis des plages IP inconnues avec des user-agents HTTP inhabituels. Les IDS/IPS comme Suricata disposent de signatures spécifiques pour les CVE Fortinet critiques. Sur FortiGate, activer les logs 'event' et 'traffic' avec un niveau de verbosité maximal vers un syslog externe est indispensable : un attaquant disposant d'un accès root peut purger les logs locaux. La supervision NTA du trafic sortant depuis l'équipement lui-même permet de détecter un implant ou un reverse shell post-exploitation, souvent vers des IP de C2 sur des ports non standard.

Côté Red Team, les équipements Fortinet exposés sur Internet constituent des points d'entrée initiaux privilégiés. La CVE-2023-27997 (heap overflow pré-auth sur SSLVPN FortiOS) permet une exécution de code arbitraire sans authentification sur les versions non patchées. L'outil 'BDFProxy' ou des scripts Python publics permettent de tester rapidement l'exposition au CVE-2018-13379 en récupérant le fichier '/dev/cmdb/sslvpn_websession' contenant des identifiants en clair. La CVE-2022-40684 exploite une mauvaise validation du header 'Forwarded' pour contourner l'authentification de l'API REST et créer un compte administrateur. Post-exploitation, un attaquant installe souvent un implant persistant dans le système de fichiers FortiOS via la manipulation de fichiers légitimes. Les contre-mesures prioritaires sont : désactiver l'accès HTTPS à l'interface d'administration depuis Internet, restreindre le portail SSLVPN aux seules IP autorisées via des politiques locales, activer l'authentification multifacteur sur tous les comptes admin, et appliquer les patches de sécurité FortiOS dans un délai maximal de 48 heures après publication d'une CVE critique. La segmentation du management plane est également indispensable.