SonicWall a exhort\u00e9 mercredi les clients du logiciel de gestion de pare-feu Global Management System (GMS) et de moteur de rapport r\u00e9seau Analytics \u00e0 appliquer les derniers correctifs pour se prot\u00e9ger contre un ensemble de 15 failles de s\u00e9curit\u00e9 qui pourraient \u00eatre exploit\u00e9es par un acteur malveillant pour contourner l’authentification et acc\u00e9der aux informations sensibles.<\/p>\n
Sur les 15 d\u00e9fauts (suivis de CVE-2023-34123 \u00e0 CVE-2023-34137), quatre sont class\u00e9s critiques, quatre sont class\u00e9s \u00e9lev\u00e9s et sept sont class\u00e9s de gravit\u00e9 moyenne. Les vuln\u00e9rabilit\u00e9s ont \u00e9t\u00e9 divulgu\u00e9es par NCC Group.<\/p>\n
Les failles affectent les versions sur site de GMS 9.3.2-SP1 et versions ant\u00e9rieures et Analytics 2.5.0.4-R7 et versions ant\u00e9rieures. Des correctifs sont disponibles dans les versions GMS 9.3.3 et Analytics 2.5.2.<\/p>\n
“La suite de vuln\u00e9rabilit\u00e9s permet \u00e0 un attaquant d’afficher des donn\u00e9es qu’il n’est normalement pas en mesure de r\u00e9cup\u00e9rer”, SonicWall a dit<\/a>. “Cela peut inclure des donn\u00e9es appartenant \u00e0 d’autres utilisateurs ou toute autre donn\u00e9e \u00e0 laquelle l’application elle-m\u00eame peut acc\u00e9der. Dans de nombreux cas, un attaquant peut modifier ou supprimer ces donn\u00e9es, provoquant des modifications persistantes du contenu ou du comportement de l’application.”<\/p>\n La liste des d\u00e9fauts critiques est la suivante –<\/p>\n La divulgation intervient alors que Fortinet a r\u00e9v\u00e9l\u00e9 une faille critique affectant FortiOS et FortiProxy (CVE-2023-33308, score CVSS\u00a0: 9,8) qui pourrait permettre \u00e0 un adversaire d’ex\u00e9cuter du code \u00e0 distance dans certaines circonstances. Il a d\u00e9clar\u00e9 que le probl\u00e8me avait \u00e9t\u00e9 r\u00e9solu dans une version pr\u00e9c\u00e9dente, sans avis.<\/p>\n “Une vuln\u00e9rabilit\u00e9 de d\u00e9bordement bas\u00e9e sur la pile [CWE-124] dans FortiOS et FortiProxy peut permettre \u00e0 un attaquant distant d’ex\u00e9cuter un code ou une commande arbitraire via des paquets sp\u00e9cialement con\u00e7us pour atteindre les politiques de proxy ou les politiques de pare-feu avec le mode proxy parall\u00e8lement \u00e0 l’inspection approfondie des paquets SSL \u00bb, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9. a dit<\/a> dans un avis.<\/p>\n Bouclier contre les menaces internes\u00a0: ma\u00eetriser la gestion de la posture de s\u00e9curit\u00e9 SaaS<\/p>\n <\/a><\/p>\n Inquiet des menaces internes ? Nous avons ce qu’il vous faut! Rejoignez ce webinaire pour explorer les strat\u00e9gies pratiques et les secrets de la s\u00e9curit\u00e9 proactive avec la gestion de la posture de s\u00e9curit\u00e9 SaaS.<\/p>\n Joignez aujourd’hui<\/a><\/section>\n Les produits concern\u00e9s incluent les versions FortiOS 7.2.0 \u00e0 7.2.3 et 7.0.0 \u00e0 7.0.10 ainsi que les versions FortiProxy 7.2.0 \u00e0 7.2.2 et 7.0.0 \u00e0 7.0.9. Les versions qui bouchent le trou de s\u00e9curit\u00e9 sont list\u00e9es ci-dessous –<\/p>\n Il convient de noter que la faille n’affecte pas toutes les versions de FortiOS 6.0, FortiOS 6.2 et FortiOS 6.4, et FortiProxy 1.x et FortiProxy 2.x.<\/p>\n Pour les clients qui ne peuvent pas appliquer les mises \u00e0 jour imm\u00e9diatement, Fortinet est recommander<\/a> qu’ils d\u00e9sactivent le support HTTP\/2 sur les profils d’inspection SSL utilis\u00e9s par les politiques de proxy ou les politiques de pare-feu avec le mode proxy.<\/p>\n <\/p>\n\n
\n