Se han reportado 2 vulnerabilidades en Fortinet FortiMail que permitirían a un atacante omitir la autenticación y obtener acceso completo al sistema afectado.
Las vulnerabilidades reportadas son las siguientes:
- CVE-2021-36166 de severidad crítica, con una puntuación de 9.8. Esta vulnerabilidad se debe a una falla en el proceso de autenticación de FortiMail, que permite a través de la observación de ciertas propiedades del sistema adivinar el token de autenticación de una cuenta de administración. Un atacante remoto podría aprovechar esta situación para obtener acceso completo al sistema afectado con dicho token.
- CVE-2021-32586 de severidad alta, con una puntuación de 7.7. Esta vulnerabilidad se debe a una validación incorrecta de un input de la CGI del servidor web de FortiMail. Un atacante no autenticado podría enviar peticiones HTTP especialmente diseñadas para alterar el entorno del intérprete de scripts del sistema y así comprometer el sistema afectado.
Estas vulnerabilidades afectan a las siguientes versiones:
- FortiMail: 7.0.0, 6.4.5, 6.4.4, 6.4.3, 6.4.2, 6.4.1, 6.4.0, 6.2.7, 6.2.6, 6.2.5, 6.2.4, 6.2.3, 6.2.2, 6.2.1, 6.2.0, 6.0.9, 6.0.8, 6.0.7, 6.0.6, 6.0.5, 6.0.4, 6.0.3, 6.0.2, 6.0.11, 6.0.10, 6.0.1, 6.0.0, 5.4.9, 5.4.8, 5.4.7, 5.4.6, 5.4.5, 5.4.4, 5.4.3, 5.4.2, 5.4.12, 5.4.11, 5.4.10, 5.4.1, 5.4.0
Recomendamos actualizar a la última versión de FortiMail correspondiente, acorde a la siguiente guía por el fabricante:
Referencias: