Une faille FortiMail activement exploitée
Fortinet a lancé l’alerte au sujet d’une faille zero-day FortiMail ne nécessitant aucune authentification, selon The Register. Son exploitation est déjà en cours, tandis que certains administrateurs attendent encore la mise à disposition de correctifs.
Cette combinaison rend la fiabilité de l’inventaire essentielle. En l’absence d’authentification requise, changer les mots de passe ne suffit pas à traiter l’exposition sous-jacente. Les équipes réseau et sécurité doivent identifier chaque équipement concerné, vérifier précisément son firmware, suivre les recommandations actualisées de Fortinet et documenter les contrôles comme les changements réalisés.
Le rapport disponible confirme une exploitation active et des correctifs encore indisponibles pour certains administrateurs. En revanche, le résumé fourni ne précise ni identifiant CVE, ni versions de firmware affectées, ni indicateurs techniques de compromission. Il ne faut pas les déduire : ces informations doivent être vérifiées dans l’avis Fortinet en vigueur.
Établir un état d’exposition par firmware
Compter les noms d’hôtes ne suffit pas face à une vulnérabilité activement exploitée sur des appliances. Chaque déploiement FortiMail doit être associé à un responsable et à un état technique vérifié.
Il convient de consigner au minimum :
Les instances physiques, virtuelles, de production, de secours et de reprise après sinistre
Le firmware exact, vérifié directement sur l’équipement
L’exposition à Internet et le rôle opérationnel de l’appliance
Le responsable métier et le responsable technique de la remédiation
La disponibilité d’un correctif pour la branche de firmware concernée
La dernière sauvegarde de configuration et le dernier changement vérifié
L’état de l’investigation et l’emplacement des preuves
Toute dérogation ou mesure compensatoire approuvée
Les équipements peuvent être répartis en groupes opérationnels :
Équipement affecté avec firmware corrigé disponible : tester et déployer en priorité selon les recommandations du fournisseur.
Équipement affecté sans correctif disponible : appliquer uniquement les mesures d’atténuation prises en charge par le fournisseur et surveiller les mises à jour de l’avis.
Équipement potentiellement affecté, état non vérifié : considérer cette incertitude comme un risque opérationnel et procéder immédiatement à la vérification.
Équipement confirmé hors périmètre : conserver les éléments ayant permis d’aboutir à cette conclusion.
La liste des versions affectées peut évoluer au fil de l’enquête. Chaque décision relative au firmware doit donc être accompagnée de sa source et d’un horodatage.
Traiter avec prudence les indicateurs d’exploitation
Le rapport indique que l’exploitation est en cours, mais le résumé fourni ne contient ni adresse IP, ni nom de fichier, ni motif de journalisation, ni autre indicateur. Les équipes doivent éviter de diffuser des indicateurs non vérifiés ou de considérer que l’absence d’une seule trace suffit à déclarer une appliance saine.
Lorsque Fortinet ou une autre autorité fiable publie des indicateurs, il faut consigner :
La source d’origine et l’heure de publication de l’indicateur
Les équipements et périodes analysés
La requête ou la méthode d’investigation employée
Le résultat positif, négatif ou non concluant
Les décisions d’escalade et de confinement
L’investigation et la remédiation doivent rester deux volets distincts. Installer un firmware corrigé ne prouve pas rétrospectivement que l’équipement n’a jamais été compromis. À l’inverse, ne trouver aucun indicateur connu ne dispense pas d’appliquer le correctif.
Conserver des preuves de remédiation
Pour chaque équipement FortiMail, constituez un dossier exploitable couvrant à la fois le changement technique et l’examen de sécurité :
Firmware avant intervention et instantané horodaté de la configuration
Ticket de changement, approbateur, opérateur et fenêtre de maintenance
Recommandations du fournisseur suivies
Mesure d’atténuation ou firmware corrigé appliqué
Vérification du firmware après intervention
Validation du service et comparaison des configurations
Recherche d’indicateurs et conclusion de l’investigation
Dérogations ouvertes, responsable désigné et date de réexamen
Si aucun correctif n’est encore disponible, indiquez-le explicitement. Précisez la date de la dernière vérification, les mesures temporaires approuvées et la prochaine échéance de réévaluation.
Comment ConnectMyAssets aide
ConnectMyAssets fournit un processus sur site et indépendant des constructeurs pour piloter ce type de réponse sur des appliances de sécurité :
Dynamic CMDB : centralise les équipements FortiMail, leurs firmwares, propriétaires, niveaux d’exposition et états de remédiation avec le reste de l’infrastructure multiconstructeur.
Suivi des CVE par actif : rattache les vulnérabilités aux appliances individuelles lorsqu’un identifiant et des données fiables sur les versions affectées sont disponibles, sans créer de correspondances non vérifiées.
Backup & History : conserve les versions horodatées des configurations avant et après remédiation, avec l’historique des changements et des possibilités de retour arrière.
Compliance Engine : structure les preuves techniques, les dérogations et l’état des contrôles pour des référentiels tels que NIS2, ISO 27001, PCI DSS, CISA et NIST.
Automation : facilite la collecte et les workflows de remédiation contrôlés, une fois les commandes et procédures de mise à jour validées dans un environnement sûr.
Suivi de fin de vie : repère les appliances ou branches logicielles susceptibles de compliquer l’application des correctifs et de nécessiter un plan de remplacement.
ConnectMyAssets fonctionnant sur site, les inventaires de firmware, configurations, identifiants et dossiers d’investigation restent sous le contrôle de l’organisation. L’objectif n’est pas seulement de fermer un ticket comme « corrigé », mais de démontrer quels actifs ont été exposés, quelles actions ont été réalisées et quels risques restent ouverts.
Source : The Register
