FICHE CVE

CVE-2024-52965

Publiée le 2025-07-08 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les utilisateurs de FortiOS et FortiProxy utilisant l'authentification par clé API et certificat PKI sont affectés par une faille qui ne valide pas correctement les certificats. Un attaquant disposant d'une clé API valide peut contourner les vérifications de certificat pour obtenir un accès administratif complet au système via le réseau. Cette exploitation est relativement simple à exécuter, mais nécessite que l'attaquant possède déjà des identifiants à hauts privilèges.

CVSS 3.17.2 ÉLEVÉE

Type de faiblesse

CWE-304

Publiée2025-07-08

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisÉlevés

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

psirt@fortinet.com

Description officielle du NVD (en anglais)

A missing critical step in authentication vulnerability [CWE-304] in Fortinet FortiOS version 7.6.0 through 7.6.1, 7.4.0 through 7.4.5, 7.2.0 through 7.2.10, and before 7.0.16 & FortiProxy version 7.6.0 through 7.6.1, 7.4.0 through 7.4.8, 7.2.0 through 7.2.13 and before 7.0.20 allows an API-user using api-key + PKI user certificate authentication to login even if the certificate is invalid.