Vulnerabilidades críticas en FortiMail y FortiOS de Fortinet
Fortinet ha publicado varias vulnerabilidades, esto debido a que, cada segundo martes de cada mes, hacen públicas las vulnerabilidades descubiertas entre su último aviso de seguridad y el actual. Dentro de estos avisos se encuentran dos vulnerabilidades críticas que afectan a diversos productos Fortinet. Estas vulnerabilidades están identificadas como CVE-2025-22252 y CVE-2025-32756.
CVE-2025-32756
Esta vulnerabilidad afecta a diversos productos, como FortiCamera, FortiMail, FortiNDR y FortiRecorder. Esta CVE es de carácter crítico, ya que se le atribuye un puntaje CVSS de 9.6.
Esta vulnerabilidad es posible debido a un desbordamiento de búfer, lo cual puede ser provocado mediante el envío de peticiones HTTP especialmente diseñadas para este propósito. De ser explotada correctamente, un atacante no autenticado podría ejecutar comandos o código malicioso a través de dichas peticiones HTTP.
Se ha observado que esta vulnerabilidad está siendo explotada por actores maliciosos; sin embargo, hasta el momento solo se ha detectado explotación en dispositivos FortiVoice. Aún no se tiene registro de que haya sido explotada en otros dispositivos afectados por esta CVE.
Fortinet ha declarado que los ataques registrados llevan a cabo las siguientes actividades al explotar la vulnerabilidad:
- Escanear el dispositivo de red
- Borrar crashlogs del sistema
- Habilita el servicio fcgi debugging para recolectar credenciales del sistema o inicios de sesión a través de SSH.
CVE-2025-22252
Esta vulnerabilidad afecta a FortiOS, FortiProxy y FortiSwitchManager (TACACS+), y se origina por una falla en la autenticación con ASCII. Esta falla podría permitir que actores maliciosos se autentiquen como administradores utilizando credenciales incompletas, ya que el sistema permite autenticarse solo con el nombre de usuario. Esto convierte la vulnerabilidad en un foco rojo para las organizaciones que utilizan productos Fortinet, debido a que los actores de amenazas no necesitan contar con las contraseñas de las cuentas para explotarla, lo que la convierte en un blanco fácil de aprovechar.Las consecuencias de la explotación de esta vulnerabilidad podrían ser significativas para las víctimas afectadas, ya que los actores de amenazas podrían ingresar como administradores y obtener privilegios elevados, lo que les permitiría acceder a información sensible e incluso modificar configuraciones esenciales para mantener la privacidad, confidencialidad y disponibilidad de los productos afectados.
La vulnerabilidad está clasificada como crítica, tiene una puntuación CVSS de 9.0, y solo afecta a los productos antes mencionados que cuentan con la configuración de autenticación ASCII.
Solución alternativa
En caso de contar con la autentificación ASCII utilice el siguiente método de autentificación alternativo:
config user tacacs+
edit "TACACS-SERVER"
set server <IP address>
set key <string>
set authen-type [pap, mschap, chap]
set source-ip <IP address>
next
end
O
config user tacacs+
edit "TACACS-SERVER"
set server <IP address>
set key <string>
unset authen-type
set source-ip <IP address>
next
end
Versiones Afectadas
CVE-2025-32756
| Producto afectado | Versión afectada | Versión parchada |
| FortiCamera 2.1 | 2.1.0 a 2.1.3 | Actualizar a 2.1.4 o superior |
| FortiCamera 2.0 | Todas las versiones 2.0 | Migrar a una versión corregida |
| FortiCamera 1.1 | Todas las versiones 1.1 | Migrar a una versión corregida |
| FortiMail 7.6 | 7.6.0 a 7.6.2 | Actualizar a 7.6.3 o superior |
| FortiMail 7.4 | 7.4.0 a 7.4.4 | Actualizar a 7.4.5 o superior |
| FortiMail 7.2 | 7.2.0 a 7.2.7 | Actualizar a 7.2.8 o superior |
| FortiMail 7.0 | 7.0.0 a 7.0.8 | Actualizar a 7.0.9 o superior |
| FortiNDR 7.6 | 7.6.0 | Actualizar a 7.6.1 o superior |
| FortiNDR 7.4 | 7.4.0 a 7.4.7 | Actualizar a 7.4.8 o superior |
| FortiNDR 7.2 | 7.2.0 a 7.2.4 | Actualizar a 7.2.5 o superior |
| FortiNDR 7.1 | Todas las versiones 7.1 | Migrar a una versión corregida |
| FortiNDR 7.0 | 7.0.0 a 7.0.6 | Actualizar a 7.0.7 o superior |
| FortiNDR 1.5 | Todas las versiones 1.5 | Migrar a una versión corregida |
| FortiNDR 1.4 | Todas las versiones 1.4 | Migrar a una versión corregida |
| FortiNDR 1.3 | Todas las versiones 1.3 | Migrar a una versión corregida |
| FortiNDR 1.2 | Todas las versiones 1.2 | Migrar a una versión corregida |
| FortiNDR 1.1 | Todas las versiones 1.1 | Migrar a una versión corregida |
| FortiRecorder 7.2 | 7.2.0 a 7.2.3 | Actualizar a 7.2.4 o superior |
| FortiRecorder 7.0 | 7.0.0 a 7.0.5 | Actualizar a 7.0.6 o superior |
| FortiRecorder 6.4 | 6.4.0 a 6.4.5 | Actualizar a 6.4.6 o superior |
| FortiVoice 7.2 | 7.2.0 | Actualizar a 7.2.1 o superior |
| FortiVoice 7.0 | 7.0.0 a 7.0.6 | Actualizar a 7.0.7 o superior |
| FortiVoice 6.4 | 6.4.0 a 6.4.10 | Actualizar a 6.4.11 o superior |
CVE-2025-22252
| Versiones afectadas | Versiones parcheadas |
| FortiOS 7.6 | Actualizar a la versión 7.6.1 o superiores. |
| FortiOS 7.4.4 a 7.4.6 | Actualizar a la versión 7.4.7 o superiores. |
| FortiProxy 7.6 a 7.6.1 | Actualizar a la versión 7.6.2 o superiores |
| FortiSwitchManager 7.2.5 | Actualizar a la versión 7.2.6 o superior |
CVE-2025-22252
| Versiones afectadas | Versiones parcheadas |
| FortiOS 7.6 | Actualizar a la versión 7.6.1 o superiores. |
| FortiOS 7.4.4 a 7.4.6 | Actualizar a la versión 7.4.7 o superiores. |
| FortiProxy 7.6 a 7.6.1 | Actualizar a la versión 7.6.2 o superiores |
| FortiSwitchManager 7.2.5 | Actualizar a la versión 7.2.6 o superior |
Recomendaciones
- En caso de ser afectado por alguna de las 2 vulnerabilidades actualizar la versión de su producto según la tabla de versiones afectadas.
- Si no es posible actualizar a la versión parchada por algún motivo, efectúe las soluciones alternativas/workarounds del CVE correspondiente.
Recomendaciones adicionales:
- Establecer controles de acceso SSH basados en la red para minimizar el riesgo de ataque
- Auditar herramientas de acceso remoto. (NIST CSF, 2024)
- Revisar logs de ejecución de software de acceso remoto. (NIST CSF, 2024)
- Limitar estrictamente el uso de los protocolos SMB y RDP.
- Realizar auditorías de seguridad. (NIST CSF, 2024)
- Deshabilitar los servicios y procesos no requeridos para reducir los vectores de ataque. (NIST CSF, 2024)
- Tener filtros de correo electrónico y spam.
- Concientizar a los empleados sobre los métodos de Phishing e Ingeniería social.
- Realizar copias de seguridad, respaldos o back-ups constantemente.
- Mantener los respaldos desconectados de la red de la organización, verificando constantemente la confidencialidad, integridad y disponibilidad de estos.
- Revisar continuamente los privilegios de los usuarios.
- Tener una solución EDR robusta configurada adecuadamente basada en las mejores prácticas (de acuerdo con documentación de fabricante).
- Habilitar la autenticación multi-factor.
Referencias
- FORTINET. (2025. Mayo 14) Omisión de autenticación TACACS+. Recuperado el 14 de mayo del 2025 en: https://www.fortiguard.com/psirt/FG-IR-24-472
- FORTINET. (2025. Mayo 14) Stack-based buffer overflow vulnerability in API. Recuperado el 14 de mayo del 2025 en: https://fortiguard.fortinet.com/psirt/FG-IR-25-254
