Vulnérabilité sur FortiMail et FortiVoiceEntreprise

Date de publication :

Une vulnérabilité jour-zéro a été découverte dans les produits Fortinet FortiMail, une solution de protection de mails, et FortiVoiceEntreprise, une solution pour téléphonie d’entreprise. Elle peut permettre à un attaquant de contourner la procédure d’identification. 

CVE-2020-9294 [Score CVSS v3 : 9.8] : Une vulnérabilité de type contournement d’authentification a été découverte dans FortiMail et FortiVoice. Elle peut permettre à un attaquant distant d’obtenir des privilèges de superadministrateur (root). Aucun détail technique n’a été dévoilé par l’éditeur.

Informations

La faille est activement exploitée :

Un correctif existe :

Une mesure de contournement existe :

Risques

Risques

  • Elévation de privilèges

Criticité

  • Score CVSS v3 : 9.8

Existence d’un code d’exploitation

  • Aucun code d’exploitation n’est disponible publiquement. Cependant, il a été reporté que des groupes d’attaquants vendent les détails techniques de la vulnérabilité sur des forums. 

Composants vulnérables

  • FortiMail versions antérieures à la 5.4.11
  • FortiMail versions antérieures à la 6.0.8
  • FortiMail versions antérieures à la 6.2.3
  • FortiVoiceEnterprise versions antérieures à la 6.0.3

CVE

  • CVE-2020-9294

Solutions ou recommandations

Mise en place de correctifs de sécurité

  • Mettre à jour FortiMail et / ou FortiVoiceEnterprise vers une version non vulnérable (voir Composants vulnérables)

Solution de contournement

  • Aucune solution de contournement n’est disponible

Liens