Se han detectado vulnerabilidades de severidades altas en varios productos de Fortinet. Estas vulnerabilidades podrían permitir a actores maliciosos realizar un control de acceso indebido a través de solicitudes diseñadas.
Productos afectados:
FortiClient Windows:
- Versión 6.4 todas las versiones.
- Versiones 6.4.0 a 6.4.10.
- Versiones 7.0.0 a 7.0.12.
- Versiones 7.2.0 a 7.2.4
- Versión 7.4.0 .
FortiOS:.
- Versiones 7.0.0 a 7.0.13
- Versiones 7.2.0 a 7.2.7
- Versiones 7.4.0 a 7.4.3
FortiAnalyzer:
- Versiones 6.4.0 a 6.4.14
- Versiones 7.0.0 a 7.0.11
- Versiones 7.2.0 a 7.2.4
- Versiones 7.4.0 a 7.4.1
FortiAnalyzer-BigData:
- Versión 6.2 todas las versiones.
- Versión 6.4 todas las versiones.
- Versión 7.0 todas las versiones.
- Versiones 7.2.0 a 7.2.6
- Versión 7.4.0
FortiManager:
- Versiones 6.4.0 a 6.4.14
- Versiones 7.0.0 a 7.0.11
- Versiones 7.2.0 a 7.2.4
- Versión 7.4.0 a 7.4.1
Impacto:
Las vulnerabilidades de severidad alta se identifican como:
CVE-2024-36513: Puntuación CVSS 7.4. Una vulnerabilidad de error de cambio de contexto de privilegios [CWE-270]. Esta vulnerabilidad podría permitir a un usuario autenticado aumentar sus privilegios a través de scripts de parches automáticos de Lua.
CVE-2024-47574: Puntuación CVSS 7.4. Una vulnerabilidad de omisión de autenticación mediante una ruta o canal alternativo (CWE-288). Esta vulnerabilidad podría permitir a un actor malicioso ejecutar código malicioso con privilegios elevados.
CVE-2024-50176: Puntuación CVSS 7.1. Una vulnerabilidad de fijación de sesión [CWE-384], que podría permitir a un actor malicioso no autenticado secuestrar la sesión de un usuario mediante un enlace de autenticación SAML de phishing.
CVE-2024-23666: Puntuación CVSS 7.1. Una vulnerabilidad de seguridad del lado del servidor (CWE-602), que podría permitir a un actor malicioso autenticado con permisos de solo lectura ejecutar operaciones sensibles mediante solicitudes diseñadas.
Recomendación:
Actualizar los productos afectados a la última versión disponible desde la página oficial del fabricante.
Referencias:
https://fortiguard.fortinet.com/psirt/FG-IR-23-475
https://fortiguard.fortinet.com/psirt/FG-IR-24-144
https://fortiguard.fortinet.com/psirt/FG-IR-24-199