Une base attribuée à FortiBleed rassemble les identifiants de près de 74 000 équipements Fortinet, sans nouvelle vulnérabilité confirmée.
Une vaste base de données contenant des identifiants associés à 73 932 équipements Fortinet et FortiGate a été découverte en ligne.
L’affaire, surnommée FortiBleed, concerne principalement des pare-feux et des passerelles VPN Fortinet accessibles depuis Internet. La base contiendrait des adresses de connexion, des noms d’utilisateur, des adresses électroniques et des mots de passe en clair.
Des entreprises appartenant à de nombreux secteurs apparaîtraient dans les fichiers. Une partie des identifiants pourrait toujours fonctionner, ce qui permettrait aux attaquants de se connecter aux équipements concernés.
Une fois à l’intérieur, ils pourraient modifier les règles du pare-feu, créer des comptes administrateurs, récupérer des configurations ou tenter de progresser vers le réseau interne.
Une campagne massive de collecte d’identifiants
Le chercheur en sécurité Volodymyr Diachenko explique avoir identifié une campagne combinant plusieurs méthodes pour obtenir les accès.
Les attaquants auraient lancé plus de 1,1 milliard de tentatives d’authentification contre environ 320 000 instances FortiGate. Ils auraient également récupéré des hashes d’authentification provenant de VPN SSL avant de tenter de les casser avec une infrastructure composée de plusieurs dizaines de GPU.
Selon Hudson Rock, les opérateurs ne se seraient pas limités à réutiliser des mots de passe déjà divulgués. Après avoir franchi le périmètre réseau, ils auraient aussi cherché à atteindre les environnements Active Directory des organisations compromises.
La présence d’un équipement ou d’un domaine dans la base ne prouve pas automatiquement que son réseau interne a été entièrement compromis. Elle doit néanmoins déclencher une vérification immédiate.
Fortinet conteste l’existence d’un nouvel incident
Fortinet affirme que cette base ne provient pas d’une nouvelle faille de sécurité affectant ses produits.
Selon les premières conclusions du constructeur, les données seraient un mélange d’identifiants obtenus lors d’incidents précédents et de mots de passe découverts par des attaques automatisées.
L’entreprise précise que l’affaire n’est liée à aucun avis de sécurité récent. Aucune nouvelle CVE n’a donc été annoncée pour expliquer directement cette campagne.
Il est important de conserver cette nuance : FortiBleed désigne ici une campagne de collecte et d’exploitation d’identifiants, pas une nouvelle vulnérabilité zero-day confirmée dans FortiOS.
Que doivent faire les administrateurs ?
Les organisations utilisant un pare-feu Fortinet ou un VPN FortiGate devraient considérer les identifiants concernés comme potentiellement compromis.
Les principales mesures recommandées sont :
- renouveler les mots de passe des comptes FortiGate et VPN ;
- modifier les secrets LDAP ou Active Directory accessibles depuis l’équipement ;
- activer l’authentification multifacteur ;
- rechercher des comptes administrateurs inconnus ;
- vérifier les connexions et modifications de configuration récentes ;
- installer les dernières versions corrigées de FortiOS ;
- limiter l’accès à l’interface d’administration depuis Internet ;
- vérifier que les mots de passe ne sont pas réutilisés sur d’autres services.
La simple modification du mot de passe administrateur peut ne pas suffire si un attaquant a déjà créé un autre compte ou récupéré des secrets présents dans la configuration.
Une analyse des journaux, des comptes locaux et des équipements situés derrière le pare-feu reste donc nécessaire. En cas de doute sérieux, il faut envisager une véritable procédure de réponse à incident plutôt qu’une simple rotation des mots de passe.
Cette affaire rappelle qu’un pare-feu à jour ne protège pas contre un identifiant déjà compromis. L’authentification multifacteur, la limitation des interfaces exposées et la surveillance des connexions restent indispensables.
Sources :
Article de PC INpact
Analyse publiée par ITPro
Article de TechRadar