FortiGuard Labs a publié une alerte PSIRT concernant une vulnérabilité de type buffer over-read FortiOS. Concrètement, une faille de catégorie CWE-126 a été identifiée dans FortiOS, FortiProxy et FortiSASE. Si elle est exploitée, un attaquant authentifié pourrait obtenir une partie de la mémoire du dispositif en réponse à une requête spécialement conçue.
Ce risque s’inscrit dans un scénario où la machine renvoie une portion de la mémoire interne au travers de la réponse de redirection. Dans un contexte d’exploitation réaliste, cela peut constituer un levier pour mieux comprendre l’environnement cible ou préparer d’autres actions malveillantes. Pour réduire la surface d’attaque, Fortinet insiste sur le fait de respecter la voie de mise à niveau recommandée.
De quel type de vulnérabilité parle-t-on ?
Le point central de cette alerte est un buffer over-read. Ce mécanisme correspond à une situation où un programme lit plus de données qu’il ne devrait depuis un tampon. Au lieu de rester strictement dans les limites prévues, le système peut exposer des éléments de mémoire qui n’étaient pas destinés à être renvoyés au demandeur.
Dans le cas présent, FortiGuard Labs précise que l’exploitation passe par une requête soigneusement fabriquée. Une fois envoyée, la réponse de redirection peut inclure une portion de la mémoire du dispositif.
Quels produits sont concernés ?
Cette vulnérabilité a été observée dans plusieurs composants Fortinet. Les produits cités dans l’avis PSIRT sont :
- FortiOS
- FortiProxy
- FortiSASE
Le fait que plusieurs produits soient impactés implique que l’évaluation ne doit pas se limiter à un seul parc ou une seule solution. Selon votre architecture, il peut donc être nécessaire de vérifier la version déployée pour chacun des composants concernés.
Scénario d’exploitation : rôle de l’attaquant et vecteur
Selon l’alerte, un attaquant doit être authentifié pour tirer parti de la faille. Autrement dit, l’exploitation ne se présente pas comme un simple accès anonyme : elle suppose l’existence d’un identifiant ou d’un contexte d’accès valide.
Une fois l’attaquant en position de faire la demande, il peut soumettre une requête spécialement conçue. Le dispositif, lors de la réponse de redirection, pourrait renvoyer une partie de la mémoire interne, ce qui constitue le cœur du risque.
Risque pour votre environnement
Le contenu exact de la mémoire récupérable n’est pas détaillé dans l’avis. Cependant, le principe d’une fuite de mémoire via une réponse applicative justifie une prise en charge rapide. En pratique, toute exposition non intentionnelle peut aider un acteur malveillant à obtenir des informations sensibles, à mieux calibrer des attaques ultérieures ou à identifier des comportements internes du système.
Pour cette raison, il est recommandé de traiter la faille comme un événement de sécurité prioritaire, surtout si vos appareils exposent des fonctionnalités de redirection ou s’ils sont accessibles depuis des segments réseau où un accès authentifié peut être obtenu.
Correctifs et voie de mise à niveau
Fortinet recommande de suivre la voie de mise à niveau recommandée. L’avis renvoie également vers un outil dédié permettant de guider la mise à jour :
https://docs.fortinet.com/upgrade-tool
Ce type d’outil peut s’avérer utile pour planifier une migration cohérente avec votre situation (versions actuelles, dépendances, étapes de mise à jour). L’objectif est d’éviter des mises à jour incomplètes ou incompatibles qui laisseraient le système dans un état vulnérable.
Virtual Patch disponible : “FG-VD-58646.0day”
En complément de la stratégie de mise à jour, l’alerte mentionne une Virtual Patch portant le nom “FG-VD-58646.0day”. Celle-ci est disponible via la base FMWP, avec une référence indiquée dans la publication : FMWP db update 26.010.
Concrètement, une virtual patch vise à réduire le risque sans attendre l’ensemble des changements nécessaires à une mise à niveau complète. C’est souvent une mesure transitoire appréciée lorsque le déploiement des correctifs principaux doit être coordonné.
Attention toutefois : une protection temporaire ne remplace pas une correction de fond. À terme, l’approche la plus robuste reste de respecter la trajectoire de mise à niveau recommandée.
Pourquoi cette publication ? (et qui est remercié)
Fortinet indique avoir reçu un signalement responsable ayant conduit à l’identification de la vulnérabilité. Les personnes remerciées dans l’avis sont Vang3lis et Cyth, membres de VARAS@IIE.
Ce retour illustre l’importance des programmes de divulgation responsable, qui contribuent à améliorer la sécurité des systèmes avant exploitation généralisée.
Calendrier de publication
La chronologie fournie par FortiGuard Labs indique : 2026-07-14 pour la publication initiale.
Si vous suivez les avis PSIRT dans vos processus internes, assurez-vous de relier cette date à vos cycles de patching et à vos fenêtres de maintenance afin de ne pas laisser le temps au risque de s’installer.
Plan d’action recommandé
Pour gérer efficacement le buffer over-read FortiOS dans votre environnement, vous pouvez vous appuyer sur une démarche simple :
- Identifier les instances de FortiOS, FortiProxy et FortiSASE déployées et leurs versions exactes.
- Évaluer l’exposition : interfaces accessibles, mécanismes de redirection, contexte d’accès authentifié.
- Appliquer la mise à niveau via la voie recommandée en utilisant l’outil de support Fortinet.
- Envisager la Virtual Patch mentionnée (FG-VD-58646.0day) comme mesure transitoire si nécessaire.
- Documenter l’intervention : versions avant/après, date de déploiement, validation.
En procédant ainsi, vous réduisez le risque de fuite mémoire et vous stabilisez votre posture de sécurité sur la durée.
Conclusion
La publication PSIRT met en lumière une vulnérabilité de type buffer over-read FortiOS associée à la catégorie CWE-126. Dans un scénario où un attaquant authentifié utilise une requête spécialement formée, une partie de la mémoire du dispositif pourrait être renvoyée dans la réponse de redirection. Fortinet recommande de suivre la trajectoire de mise à niveau et signale une Virtual Patch disponible via FMWP db update 26.010.
Si vous administrez des systèmes concernés, l’étape la plus efficace consiste à vérifier rapidement vos versions, puis à planifier la correction selon les recommandations officielles.
