Vulnerabilidades Fortinet FortiOS y FortiProxy
Fortinet el día martes 14 de mayo de 2024 publicó información sobre 6 nuevas vulnerabilidades que afectan a algunas versiones de FortiOS y FortiProxy. La información fue publicada en el sitio del PSIRT (Product Security Incident Response Team) de Fortinet, incluyendo datos de las versiones afectadas, las CVEs detectadas, el impacto que podrían tener y su severidad.
Las 6 vulnerabilidades identificadas son de severidad media y son las siguientes:
- CVE-2023-46714: Con un puntaje CVSSv3 de 6.8, es un fallo de overflow de búfer basada en stack en la interfaz administrativa de FortiOS. Podría permitirle a un atacante privilegiado ejecutar código o comandos arbitrarios a través de solicitudes HTTP o HTTPS manipuladas. [1]
| Versión | Versiones afectadas | Solución |
| FortiOS 7.4 | De la 7.4.0 a la 7.4.1 | Actualizar a la 7.4.2 o superior |
| FortiOS 7.2 | De la 7.2.1 a la 7.2.6 | Actualizar a la 7.2.8 o superior |
- CVE-2023-44247: Con un puntaje CVSSv3 de 6.5, es un fallo de uso doble de json_object_put, que podría permitirle a un atacante con privilegios ejecutar códigos o comandos no autorizados a través de solicitudes HTTP o HTTPS manipuladas. [2]
| Versión | Versiones afectadas | Solución |
| FortiOS 6.4 | Todas las versiones 6.4 | Migrar a una versión parcheada |
| FortiOS 6.2 | Todas las versiones 6.2 | Migrar a una versión parcheada |
- CVE-2023-36640 y CVE-2023-45583: Con un puntaje CVSSv3 de 6.5, se trata de un fallo en las cadenas de formato múltiple en los CLI (Command Line Interpreter) y httpd de FortiOS, FortiProxy, FortiPAM y FortiSwitchManager. Podrían permitirle a un atacante autenticado ejecutar código arbitrario a través de comandos y solicitudes HTTP manipuladas. [3]
| Versión | Versiones afectadas | Solución |
| FortiOS 7.4 | 7.4.0 | Actualizar a la 7.4.2 o superior |
| FortiOS 7.2 | De la 7.2.0 a la 7.2.5 | Actualizar a la 7.2.8 o superior |
| FortiOS 7.0 | Todas las versiones 7.0 | Migrar a una versión parcheada |
| FortiOS 6.4 | Todas las versiones 6.4 | Migrar a una versión parcheada |
| FortiOS 6.2 | Todas las versiones 6.2 | Migrar a una versión parcheada |
| FortiOS 6.0 | De la 6.0.0 a la 6.0.16 | Migrar a una versión parcheada |
| FortiPAM 1.1 | 1.1.0 | Actualizar a la 1.1.1 o superior |
| FortiPAM 1.0 | Todas las versiones 1.0 | Migrar a una versión parcheada |
| FortiProxy 7.2 | De la 7.2.0 a la 7.2.5 | Actualizar a la 7.2.6 o superior |
| FortiProxy 7.0 | De la 7.0.0 a la 7.0.11 | Actualizar a la 7.0.14 o superior |
| FortiProxy 2.0 | Todas las versiones 2.0 | Migrar a una versión parcheada |
| FortiProxy 1.2 | Todas las versiones 1.2 | Migrar a una versión parcheada |
| FortiProxy1.1 | Todas las versiones 1.1 | Migrar a una versión parcheada |
| FortiProxy 1.0 | Todas las versiones 1.0 | Migrar a una versión parcheada |
| FortiSwitchManager 7.2 | De la 7.2.0 a la 7.2.2 | Actualizar a la 7.2.3 o superior |
| FortiSwitchManager 7.0 | De la 7.0.0 a la 7.0.2 | Actualizar a la 7.0.3 o superior |
- CVE-2024-26007: Con un puntaje CVSSv3 de 5.0, es un fallo de una verificación o manejo inadecuado de condiciones excepcionales en FortiOS 7.4.1, y podría permitirle a un atacante no autenticado realizar denegación de servicio (DoS) temporal, en la interfaz administrativa a través de solicitudes HTTP manipuladas. [4]
| Versión | Versiones afectadas | Solución |
| FortiOS 7.4 | 7.4.1 | Actualizar a la 7.4.2 o superior |
- CVE-2023-45586: Con un puntaje CVSSv3 de 4.7, es una verificación insuficiente de información de autenticidad en FortiOS y FortiProxy mediante el modo túnel SSL-VPN. Podría permitirle a un atacante autenticado como usuario VPN enviar (pero no recibir) paquetes al realizar spoofing a la IP de otro usuario a través de paquetes de red manipulados. [5]
| Versión | Versiones afectadas | Solución |
| FortiOS 7.4 | De la 7.4.0 a la 7.4.1 | Actualizar a la 7.4.2 o superior |
| FortiOS 7.2 | De la 7.2.0 a la 7.2.7 | Actualizar a la 7.2.8 o superior |
| FortiOS 7.0 | De la 7.0.0 a la 7.0.12 | Actualizar a la 7.0.13 o superior |
| FortiOS 6.4 | Todas las versiones 6.4 | Migrar a una versión parcheada |
| FortiOS 6.2 | Todas las versiones 6.2 | Migrar a una versión parcheada |
| FortiProxy 7.4 | De la 7.4.0 a la 7.4.1 | Actualizar a la 7.4.2 o superior |
| FortiProxy 7.2 | De la 7.2.0 a la 7.2.7 | Actualizar a la 7.2.8 o superior |
| FortiProxy 7.0 | De la 7.0.0 a la 7.0.13 | Actualizar a la 7.0.14 o superior |
| FortiProxy 2.0 | Todas las versiones 2.0 | Migrar a una versión parcheada |
Recomendaciones
- Actualizar o migrar los productos afectados a las versiones con solución.
- Auditar herramientas de acceso remoto. (NIST CSF, 2024)
- Revisar logs para de ejecución de software de acceso remoto. (NIST CSF, 2024)
- Limitar estrictamente el uso de los protocolos SMB y RDP.
- Realizar auditorías de seguridad. (NIST CSF, 2024)
- Deshabilitar los servicios y procesos no requeridos para reducir los vectores de ataque. (NIST CSF, 2024)
- Tener filtros de correo electrónico y spam.
- Concientizar a los empleados sobre los métodos de Phishing e Ingeniería social.
- Realizar copias de seguridad, respaldos o back-ups constantemente.
- Mantener los respaldos desconectados de la red de la organización, verificando constantemente la confidencialidad, integridad y disponibilidad de estos.
- Revisar continuamente los privilegios de los usuarios.
- Tener una solución EDR robusta configurada adecuadamente basada en las mejores prácticas (de acuerdo con documentación de fabricante).
- Habilitar la autenticación multifactor.
Referencias
- PSIRT. (2024, mayo 14). Buffer overflow in administrative interface. Recuperado el 14 de mayo de 2024 en: https://www.fortiguard.com/psirt/FG-IR-23-415
- PSIRT. (2024, mayo 14). Double free with double usage of json_object_put. Recuperado el 14 de mayo de 2024 en: https://www.fortiguard.com/psirt/FG-IR-23-195
- PSIRT. (2024, mayo 14). Format String Bug in cli command. Recuperado el 14 de mayo de 2024 en: https://www.fortiguard.com/psirt/FG-IR-23-137
- PSIRT. (2024, mayo 14). Node.js crash over administrative interface. Recuperado el 14 de mayo de 2024 en: https://www.fortiguard.com/psirt/FG-IR-24-017
- PSIRT. (2024, mayo 14). SSL-VPN user IP spoofing. Recuperado el 14 de mayo de 2024 en: https://www.fortiguard.com/psirt/FG-IR-23-225
- NIST CFS. (2024, febrero 26). NIST Releases Version 2.0 of Landmark Cybersecurity Framework. NIST. Recuperado el 15 de abril de 2024 en: https://www.nist.gov/news-events/news/2024/02/nist-releases-version-20-landmark-cybersecurity-framework
