Suivi KEV › Fortinet

CVE-2022-40684 Fortinet, plusieurs produits : contournement de l'authentification

Critique Vulnérabilité activement exploitée, exploitable massivement : la CISA l’a ajoutée à son catalogue KEV le 11 octobre 2022.

  • Produit : Fortinet Multiple Products
  • Ajoutée au catalogue : 11 octobre 2022
  • Échéance CISA : 1 novembre 2022
  • Rançongiciels : utilisée dans des campagnes connues
  • Faiblesse : CWE-288
  • Gravité : CVSS 9,8 (critique)
  • Probabilité d’exploitation (EPSS) : > 99,9 %

Fortinet FortiOS, FortiProxy et FortiSwitchManager contiennent une vulnérabilité de contournement de l'authentification qui pourrait permettre à un attaquant non authentifié d'effectuer des opérations sur l'interface d'administration via des requêtes HTTP ou HTTPS spécialement conçues.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA · fortiguard.com

Gravité et exploitation

  • Score CVSS 3.1 : 9,8 sur 10, gravité critique CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
  • Exploitable à distance, par le réseau, sans compte, sans action de la victime.
  • Probabilité d’exploitation dans les 30 jours (EPSS) : > 99,9 %, parmi les 0,1 % de CVE les plus susceptibles d’être exploitées
  • Code d’exploitation public : signalé par la NVD.

Versions concernées

  • fortiproxy : versions ≥ 7.0.0 et < 7.0.7
  • fortios : versions ≥ 7.0.0 et < 7.0.7
  • fortios : versions ≥ 7.2.0 et < 7.2.2
  • fortiproxy : version 7.2.0
  • fortiswitchmanager : 2 versions, de 7.0.0 à 7.2.0

D’après la NVD. Vérifiez toujours l’avis de l’éditeur, qui fait foi.

Type de faiblesse

  • Authentification incorrecte (CWE-287) : Le produit ne prouve pas ou prouve insuffisamment que l'identité revendiquée par un acteur est correcte.

Chronologie

  1. — Exploitation confirmée : ajout au catalogue KEV de la CISA
  2. — Publication de la CVE
  3. — Échéance de correction pour les agences fédérales américaines

Références

Sources : catalogue KEV de la CISA (CC0), NVD (NIST), EPSS (FIRST.org), CWE (MITRE). Données mises à jour automatiquement.

Texte original de la CISA (anglais)

Fortinet Multiple Products Authentication Bypass Vulnerability

Fortinet FortiOS, FortiProxy, and FortiSwitchManager contain an authentication bypass vulnerability that could allow an unauthenticated attacker to perform operations on the administrative interface via specially crafted HTTP or HTTPS requests.

Required action: Apply updates per vendor instructions.

Autres failles exploitées de Fortinet Multiple Products

  • CVE-2025-61624 — Fortinet, plusieurs produits : vulnérabilité de traversée de répertoires (16 octobre 2026)
  • CVE-2025-25249 — Fortinet, plusieurs produits : dépassement de tampon dans le tas (9 septembre 2026)
  • CVE-2026-24858 — Fortinet, plusieurs produits : contournement de l'authentification via un chemin ou un canal alternatif (27 janvier 2026)
  • CVE-2025-59718 — Fortinet, plusieurs produits : vérification incorrecte de la signature cryptographique (16 décembre 2025)
  • CVE-2025-32756 — Fortinet, plusieurs produits : dépassement de tampon basé sur la pile (14 mai 2025)
  • CVE-2024-23113 — Fortinet, plusieurs produits : vulnérabilité de chaîne de format (9 octobre 2024)

← Toutes les failles Fortinet · Suivi KEV