Vulnerabilidades FortiOS y FortiProxy: CVE-2023-41677, CVE-2023-48784, CVE-2024-23662
El pasado martes 9 de abril 2024, Fortinet anunció que ha solucionado tres nuevas vulnerabilidades que afectan a diferentes versiones de FortiOS y FortiProxy. Estas podrían permitirle a un atacante desde revelar información del sistema, hasta ejecutar código malicioso no autorizado.
Vulnerabilidades
- CVE-2023-41677, con un puntaje CVSSv3 de 7.5, esta vulnerabilidad afecta a múltiples versiones de FortiOS y FortiProxy, y podría permitirle a un atacante ejecutar código malicioso no autorizado aprovechándose de un error que genera poca protección a las credenciales [2].
- CVE-2023-48784, con un puntaje CVSSv3 de 6.7, esta vulnerabilidad afecta a múltiples versiones de FortiOS, y podría permitirle a un atacante ejecutar código malicioso no autorizado mediante el uso de formatos de string externamente controlados [4].
- CVE-2024-23662, con un puntaje CVSSv3 de 5.3, esta vulnerabilidad afecta a múltiples versiones de FortiOS, y podría permitirle a un atacante revelar información del sistema a través de peticiones HTTP [6].
Versiones afectadas [1] [3] [5]
| Producto | Versión afectada | CVE | Solución |
| FortiOS 7.4 | De la 7.4.0 a la 7.4.1 | CVE-2023-41677, CVE-2023-48784, CVE-2024-23662 | Actualizar a 7.4.2 o superior. |
| FortiOS 7.2 | De la 7.2.0 a la 7.2.7 | CVE-2023-41677, CVE-2023-48784, CVE-2024-23662 | Actualizar a 7.2.8 o superior. |
| FortiOS 7.0 | Todas las versiones | CVE-2023-41677, CVE-2023-48784, CVE-2024-23662 | Migrar a una versión no afectada. |
| FortiOS 6.4 | Todas las versiones | CVE-2023-41677, CVE-2023-48784, CVE-2024-23662 | Migrar a una versión no afectada. |
| FortiOS 6.2 | De la 6.2.0 a la 6.2.15 | CVE-2023-41677 | Actualizar a 6.2.16 o superior. |
| FortiOS 6.0 | Todas las versiones | CVE-2023-41677 | Migrar a una versión no afectada. |
| FortiProxy 7.4 | De la 7.4.0 a la 7.4.1 | CVE-2023-41677 | Actualizar a 7.4.2 o superior. |
| FortiProxy 7.2 | De la 7.2.0 a la 7.2.7 | CVE-2023-41677 | Actualizar a 7.2.8 o superior. |
| FortiProxy 7.0 | De la 7.0.0 a la 7.0.13 | CVE-2023-41677 | Actualizar a 7.0.14 o superior. |
| FortiProxy 2.0 | Todas las versiones | CVE-2023-41677 | Migrar a una versión no afectada. |
| FortiProxy 1.2 | Todas las versiones | CVE-2023-41677 | Migrar a una versión no afectada. |
| FortiProxy 1.1 | Todas las versiones | CVE-2023-41677 | Migrar a una versión no afectada. |
| FortiProxy 1.0 | Todas las versiones | CVE-2023-41677 | Migrar a una versión no afectada. |
Recomendaciones
- Actualizar FortiOS y FortiProxy a las versiones que no se ven afectadas por las vulnerabilidades.
- Auditar herramientas de acceso remoto. (NIST CSF, 2024)
- Revisar logs para de ejecución de software de acceso remoto. (NIST CSF, 2024)
- Limitar estrictamente el uso de los protocolos SMB y RDP.
- Realizar auditorías de seguridad. (NIST CSF, 2024)
- Deshabilitar los servicios y procesos no requeridos para reducir los vectores de ataque. (NIST CSF, 2024)
- Tener filtros de correo electrónico y spam.
- Concientizar a los empleados sobre los métodos de Phishing e Ingeniería social.
- Realizar copias de seguridad, respaldos o back-ups constantemente.
- Mantener los respaldos desconectados de la red de la organización, verificando constantemente la confidencialidad, integridad y disponibilidad de estos.
- Revisar continuamente los privilegios de los usuarios.
- Tener una solución EDR robusta configurada adecuadamente basada en las mejores prácticas (de acuerdo a documentación de fabricante).
- Habilitar la autenticación multifactor.
Referencias
- https://www.fortiguard.com/psirt/FG-IR-23-493
- https://nvd.nist.gov/vuln/detail/CVE-2023-41677
- https://www.fortiguard.com/psirt/FG-IR-23-413
- https://nvd.nist.gov/vuln/detail/CVE-2023-48784
- https://www.fortiguard.com/psirt/FG-IR-23-224
- https://nvd.nist.gov/vuln/detail/CVE-2024-23662
- NIST CFS. (2024, febrero 26). NIST Releases Version 2.0 of Landmark Cybersecurity Framework. NIST. Recuperado el 10 de abril de 2024 en: https://www.nist.gov/news-events/news/2024/02/nist-releases-version-20-landmark-cybersecurity-framework
