Des pirates informatiques exploitent une ancienne faille de sécurité dans les pare-feu Fortinet FortiGate, permettant de contourner l’authentification à deux facteurs et d’accéder illégalement aux réseaux d’entreprises. Cette vulnérabilité, corrigée dès juillet 2020, continue de menacer les systèmes non mis à jour ou mal configurés.
L’attaque repose sur une incohérence dans la gestion des noms d’utilisateur entre les appareils FortiGate et les annuaires LDAP, tels qu’Active Directory. Fortinet considère les noms d’utilisateur comme sensibles à la casse, tandis que la plupart des serveurs LDAP ne le sont pas. Un attaquant peut ainsi tromper un utilisateur local ayant activé l’authentification à deux facteurs en saisissant des variantes en majuscules de son nom d’utilisateur, contournant ainsi la sécurité et se connectant avec des identifiants LDAP valides.
L’équipe de réponse aux incidents de Fortinet a publié un avertissement sur son blog, appelant les administrateurs à vérifier immédiatement leurs configurations. La société recommande notamment de supprimer les groupes LDAP et de réinitialiser tous les identifiants associés pour réduire les risques. « Toute validation LDAP réussie après des échecs de correspondance locale est un signe de compromission », prévient Fortinet, soulignant que cela peut entraîner une augmentation des menaces de rançongiciels et des déplacements latéraux au sein du réseau.
Bien que des correctifs aient été déployés dans les versions FortiOS 6.0.10, 6.2.4 et 6.4.1, de nombreux appareils restent vulnérables en raison d’un manque de mises à jour ou de configurations incorrectes. Fortinet insiste sur l’importance de renforcer les politiques de moindre privilège et de réaliser des audits réguliers. Tout retard pourrait permettre aux attaquants de compromettre les systèmes d’une entreprise.
Pour aller plus loin
