Se han detectado vulnerabilidades del tipo OS Command Injection en FortiManager, que podrían permitir a un actor malicioso ejecutar código no autorizado a través de solicitudes FGFM manipuladas.
Productos afectados
- FortiManager 7.6, versión 7.6.0
- FortiManager 7.4, versiones 7.4.0 a 7.4.4
- FortiManager 7.4 Cloud, versiones 7.4.1 a 7.4.4
- FortiManager 7.2, versiones 7.2.3 a 7.2.7
- FortiManager 7.2 Cloud, versiones 7.2.1 a 7.2.7
- FortiManager 7.0, versiones 7.0.5 a 7.0.12
- FortiManager 7.0 Cloud, versiones 7.0.1 a 7.0.12
- FortiManager 6.4: Versiones 6.4.10 a 6.4.14
- Modelos de FortiAnalyzer, modelos 1000E, 1000F, 2000E, 3000E, 3000F, 3000G, 3500E, 3500F, 3500G, 3700F, 3700G, 3900E con la característica «fmg-status enable» habilitada.
Impacto
La vulnerabilidad identificada como CVE-2024-48889 tiene una puntuación CVSS 7.2 de severidad alta. Esta vulnerabilidad afecta varias versiones de FortiManager y ciertos modelos de FortiAnalyzer con configuraciones específicas habilitadas. Si se explota, un atacante podría ejecutar comandos arbitrarios en el sistema afectado, comprometiendo gravemente la seguridad de la infraestructura y abriendo la puerta a accesos no autorizados.
Recomendación
Actualizar los productos afectados a la última versión disponible desde la web oficial del fabricante.
Referencias
https://fortiguard.fortinet.com/psirt/FG-IR-24-425