Une nouvelle vulnérabilité de sécurité non corrigée a été découverte dans les appliances WAF (Web Application Firewall) de Fortinet. Une exploitation réussie peut permettre à des attaquants authentifiés d'exécuter des commandes arbitraires en tant qu'utilisateur root sur le système sous-jacent via la page de configuration du serveur SAML.

Fortinet a reporté la mise en place d'un correctif pour la vulnérabilité zero-day jusqu’à la fin du mois d'août. Un identifiant CVE n'a pas encore été attribué à la faille d'injection de commandes, mais le système de notation CVSS lui attribue un degré de gravité de 8,7.

Ce problème a été découvert par le chercheur William Vu de Rapid7 en juin 2021. Apres avoir informé fortinet de la nature de la vulnérabilité, le 17 Août 2021, le fournisseur a indiqué que la version Fortiweb 6.4.1 devrait inclure un correctif et qu'elle sera publiée à la fin du mois d'août.

Rapid7 prévient également que, bien que l'authentification soit une condition préalable à l'exécution de commandes arbitraires, l'exploit pourrait être enchaîné avec une faille de contournement de l'authentification, telle que CVE-2020-29015.

Sans correctif, il est vivement recommandé aux utilisateurs de désactiver l'interface de gestion du dispositif FortiWeb des réseaux non fiables, notamment Internet. D'une manière générale. Les interfaces de gestion de dispositifs tels que FortiWeb ne devraient pas être exposées directement à l'Internet, elles ne devraient être accessibles que via des réseaux internes fiables ou une connexion VPN sécurisée.