Fortinet a révélé une vulnérabilité permettant de contourner l’authentification dans FortiOS.
Dans certaines configurations, cette faille pourrait permettre à des attaquants de contourner les contrôles d’authentification basés sur LDAP et d’obtenir un accès non autorisé à des réseaux d’entreprise protégés.
La vulnérabilité « … peut permettre à un attaquant non authentifié de contourner l’authentification LDAP d’une règle Agentless VPN ou FSSO, dans certaines configurations du serveur LDAP » a indiqué Fortinet dans son avis de sécurité.
Le problème d’authentification de FortiOS expliqué
FortiOS est généralement déployé à la périphérie du réseau, où il contrôle l’accès aux ressources internes sensibles par l’intermédiaire de SSL-VPN, d’Agentless VPN et de règles d’authentification unique (SSO) intégrées à LDAP.
Dans ces environnements, les services d’annuaire jouent souvent le rôle de principal gardien de l’accès des utilisateurs.
Par conséquent, une vulnérabilité permettant de contourner les contrôles d’authentification peut affaiblir les contrôles périmétriques et saper la confiance dans les décisions d’accès fondées sur l’identité.
Pour les organisations qui gèrent des services VPN exposés sur Internet ou des règles de pare-feu intégrées à des systèmes d’identité, ce problème souligne l’importance de veiller à ce que les configurations d’annuaire correspondent aux hypothèses des contrôles d’accès.
Des erreurs de configuration ou des paramètres par défaut trop permissifs dans l’infrastructure d’identité peuvent introduire des risques, même lorsque les équipements périmétriques sont entièrement corrigés.
La vulnérabilité, identifiée sous le numéro CVE-2026-22153 et présente dans le fnbamd daemon, est responsable du traitement des requêtes d’authentification dans FortiOS.
Elle résulte d’une mauvaise gestion des réponses d’authentification LDAP lorsque les serveurs d’annuaire sont configurés pour autoriser des liaisons non authentifiées, ou anonymes.
Dans certaines configurations LDAP, en particulier celles qui autorisent les liaisons non authentifiées, FortiOS peut interpréter à tort une réponse LDAP comme une authentification réussie.
Ce comportement pourrait permettre à un attaquant de contourner entièrement la vérification des identifiants et d’accéder à des ressources protégées par des règles Agentless VPN ou FSSO adossées à LDAP, sans identifiants valides.
Bien que l’exploitation dépende de paramètres d’annuaire spécifiques, une exploitation réussie pourrait permettre un accès non autorisé aux réseaux internes par l’intermédiaire de composants SSL-VPN.
Seules les versions de FortiOS 7.6.0 à 7.6.4 sont concernées, tandis que toutes les autres branches majeures ne le sont pas. Les organisations utilisant des versions concernées doivent passer à FortiOS 7.6.5 ou à une version ultérieure pour corriger complètement le problème.
Au moment de la divulgation, Fortinet n’avait constaté aucun indice d’exploitation active.
Réduire les risques liés à l’authentification FortiOS
Comme la vulnérabilité affecte les contrôles d’accès fondés sur l’identité à la périphérie du réseau, l’atténuation des risques ne consiste pas uniquement à appliquer une mise à jour logicielle.
Les organisations doivent également examiner les configurations de FortiOS et les intégrations avec les annuaires qui influent sur le comportement de l’authentification.
- Corrigez les systèmes FortiOS concernés, en particulier ceux exposés à des accès externes ou appliquant des règles VPN et SSO adossées à LDAP.
- Désactivez les liaisons LDAP non authentifiées sur les serveurs d’annuaire afin d’empêcher les conditions permettant le contournement de l’authentification.
- Appliquez l’authentification multifacteur (MFA) pour l’accès VPN et SSO afin de réduire la dépendance à l’égard de contrôles d’authentification uniques.
- Restreignez les VPN et les services d’authentification au moyen d’une segmentation du réseau, de listes d’adresses IP autorisées ou de contrôles d’accès fondés sur la géolocalisation.
- Surveillez les journaux d’authentification, les enregistrements d’accès VPN et l’activité des annuaires pour détecter tout comportement anormal ou inattendu.
- Examinez et resserrez l’intégration LDAP et les règles d’accès afin de garantir le principe du moindre privilège et d’éviter un comportement d’authentification en mode fail-open.
- Testez régulièrement les plans de réponse aux incidents au moyen de scénarios simulant un contournement de l’authentification ou une compromission de l’infrastructure d’identité.
Ensemble, ces mesures contribuent à réduire la probabilité d’un contournement de l’authentification, à limiter l’exposition potentielle et à renforcer la résilience des contrôles d’accès fondés sur l’identité.
Cette vulnérabilité souligne l’importance d’intégrer les systèmes d’identité dans la planification de la sécurité périmétrique, plutôt que de les considérer comme une dépendance distincte.
Bien que Fortinet ait limité l’impact à une branche spécifique de FortiOS et n’ait signalé aucune exploitation connue, ce problème montre comment les choix de configuration des annuaires peuvent affaiblir les contrôles d’accès.
C’est l’une des raisons pour lesquelles les organisations misent sur des solutions zero-trust qui réduisent la confiance implicite entre les utilisateurs, les appareils et les chemins d’authentification.