Fortinet a signalé une vulnérabilité dans sa plateforme FortiSandbox qui pourrait permettre à des attaquants non authentifiés d’exécuter des commandes arbitraires.
Le problème concerne une faille de cross-site scripting (XSS) dans l’interface web de FortiSandbox, susceptible d’entraîner une élévation des privilèges si elle est exploitée.
La vulnérabilité « … peut permettre à un attaquant non authentifié d’exécuter des commandes via des requêtes conçues à cet effet », a indiqué Fortinet dans son avis.
Explication de la vulnérabilité FortiSandbox
La vulnérabilité, suivie sous l’identifiant CVE-2025-52436, affiche un score CVSS de 7,9, qui reflète son impact potentiel et la facilité de son exploitation.
Fortinet a classé le problème comme une faille de cross-site scripting (XSS) réfléchie, due à une validation insuffisante des entrées dans l’interface utilisateur graphique (GUI) de FortiSandbox.
Un attaquant peut exploiter la faille en injectant du code JavaScript malveillant par l’intermédiaire de paramètres manipulés ou du comportement de navigation du navigateur dans l’interface FortiSandbox.
L’application ne neutralisant pas correctement les entrées fournies par l’utilisateur, le script injecté est renvoyé à l’utilisateur et exécuté lors du rendu de la page.
Si un utilisateur privilégié, tel qu’un administrateur, interagit ensuite avec la page affectée, le script s’exécute dans le contexte de l’interface graphique de FortiSandbox.
Dans ce cas, l’impact dépasse largement le simple script côté client.
Fortinet a confirmé qu’une exploitation réussie pouvait entraîner une exécution de code à distance (RCE), donnant aux attaquants un accès en ligne de commande au système sous-jacent.
Avec ce niveau d’accès, les attaquants pourraient exfiltrer des données sensibles, rebondir vers des systèmes connectés, manipuler ou perturber les flux d’analyse des logiciels malveillants, voire tenter de contourner complètement les contrôles de la sandbox.
Versions concernées
Fortinet a indiqué que la vulnérabilité touchait principalement les déploiements FortiSandbox PaaS.
Les versions 5.0.0–5.0.1 doivent être mises à niveau vers la version 5.0.2 ou une version ultérieure, tandis que les versions 4.4.0–4.4.7 nécessitent une mise à niveau vers la version 4.4.8 ou une version ultérieure ; toutes les versions 4.2 et 4.0 doivent être migrées vers une version corrigée.
Des correctifs sont disponibles dans les versions PaaS 4.4.8 et 5.0.5, et Fortinet recommande d’effectuer rapidement la mise à niveau afin de réduire l’exposition.
Fortinet n’a signalé aucune exploitation de la vulnérabilité au moment de la publication.
Réduire l’exposition aux menaces visant FortiSandbox
FortiSandbox étant généralement utilisé dans des flux de sécurité de confiance, les vulnérabilités de la plateforme peuvent avoir un impact plus large si elles ne sont pas corrigées.
La réduction des risques passe non seulement par l’installation des correctifs, mais aussi par la limitation de l’exposition, l’amélioration de la surveillance et la préparation à d’éventuels abus.
- Priorisez l’application des correctifs ou migrez les versions FortiSandbox concernées en fonction de la branche de déploiement et de l’exposition.
- Restreignez l’accès à l’interface graphique aux réseaux de confiance et aux utilisateurs en recourant à la segmentation, à des pare-feu ou à des hôtes de rebond renforcés.
- Déployez des protections web telles qu’un WAF ou un proxy inverse afin de contribuer à bloquer les entrées malveillantes ciblant l’interface graphique.
- Surveillez les journaux système et les sessions d’administration pour détecter toute activité anormale ou toute exécution de commandes inattendue.
- Appliquez le principe du moindre privilège et limitez autant que possible l’administration via navigateur des outils de sécurité.
- Examinez et réduisez les relations de confiance et les intégrations susceptibles d’amplifier l’impact d’une compromission de la sandbox.
- Testez régulièrement les plans de réponse aux incidents dans des scénarios impliquant des outils ou plateformes de sécurité compromis.
Collectivement, ces mesures contribuent à limiter le rayon d’action d’une compromission de FortiSandbox tout en renforçant la résilience globale face à l’utilisation abusive de plateformes de sécurité de confiance.
Cette divulgation montre que des problèmes courants des applications web peuvent encore apparaître dans des plateformes axées sur la sécurité et affecter bien plus que le système immédiat.
Bien que Fortinet ait publié des correctifs et n’ait signalé aucune exploitation connue, les organisations doivent traiter les vulnérabilités des outils de sécurité de confiance avec la même priorité que celles des autres systèmes exposés.
Ce type de risque souligne pourquoi les organisations adoptent des approches zero trust qui minimisent la confiance implicite, même pour les systèmes internes et ceux dédiés à la sécurité.