Múltiples vulnerabilidades en productos Fortinet

18/08/2025 Noticias 0

Se han descubierto múltiples vulnerabilidades de severidad alta y crítica en productos Fortinet. Un actor malicioso podría lograr la elevación de privilegios, la ejecución arbitraria de código o la evasión de mecanismos de autenticación.

Productos afectados

  • FortiSIEM
  • 7.3, versiones anteriores a 7.3.2.
  • 7.2, versiones anteriores a 7.2.6.
  • 7.1, versiones anteriores a 7.1.8.
  • 7.0, versiones anteriores a 7.0.4.
  • 6.7, versiones anteriores a 6.7.10.
  • 5.4 – 6.6, todas las versiones.
  • FortiWeb
  • 7.6, versiones anteriores a 7.6.4.
  • 7.4, versiones anteriores a 7.4.8.
  • 7.2, versiones anteriores a 7.2.11.
  • 7.0, versiones anteriores a 7.0.11.
  • FortiPAM: 1.2, 1.1, 1.0, todas las versiones.
  • FortiProxy, FortiSwitchManager, FortiOS, múltiples versiones.

Impacto

Las vulnerabilidades se han identificado como:

CVE-2025-25256: con una puntuación de 9.8 en CVSS v3.1. Existe una vulnerabilidad de inyección de comandos en el sistema operativo debido a una neutralización inadecuada de elementos especiales utilizados en un comando. Un actor malicioso podría aprovechar esta vulnerabilidad para lograr la ejecución de código no autorizado. Afecta a FortiSIEM.

CVE-2024-26009: con una puntuación de 7.9 en CVSS v3.1. Existe una vulnerabilidad de omisión de autenticación en FortiOS, FortiProxy y FortiPAM. Un actor malicioso podría lograr la toma de control de los dispositivos a través de solicitudes FGFM especialmente diseñadas.

CVE-2025-52970: con una puntuación de 7.7 en CVSS v3.1. Existe una vulnerabilidad de control de acceso inadecuado debido al manejo inadecuado de parámetros en FortiWeb. Un actor malicioso remoto no autenticado con información del dispositivo y del usuario objetivo podría adquirir privilegios de administrador en el dispositivo mediante una solicitud especialmente diseñada.

Recomendación

Actualizar a la última versión disponible a través del sitio web oficial del fabricante.

Referencias

  • https://www.cve.org/CVERecord?id=CVE-2025-25256
  • https://www.cve.org/CVERecord?id=CVE-2024-26009
  • https://www.cve.org/CVERecord?id=CVE-2025-52970
  • https://fortiguard.fortinet.com/psirt/FG-IR-25-152
  • https://fortiguard.fortinet.com/psirt/FG-IR-25-448
  • https://fortiguard.fortinet.com/psirt/FG-IR-24-042