Se han descubierto vulnerabilidades de severidad alta en productos Fortinet. Un actor malicioso podría ejecutar código arbitrario, escalar privilegios o producir denegación de servicio en los sistemas objetivo.
Productos afectados
- FortiClientMac: 7.4.0 a 7.4.3, 7.2.0 a 7.2.11, 7.0 todas las versiones.
- FortiIsolator: 2.4.0 a 2.4.4, 2.3 todas las versiones.
- FortiDLP: 11.5, 11.4, 11.3, 11.2, 11.1, 11.0, 10.5, 10.4, 10.3 todas las versiones.
- FortiPAM: 1.5.0, 1.4.0 a 1.4.2, 1.3, 1.2, 1.1, 1.0 todas las versiones.
- FortiOS: 7.6.0, 7.4.0 a 7.4.5, 7.2.0 a 7.2.10, 7.0.0 a 7.0.15, 6.4 todas las versiones.
Impacto
Las vulnerabilidades de mayor severidad se han identificado como:
CVE-2025-49201: con una puntuación de 8.1 en CVSS v3.1. Existe una vulnerabilidad de autenticación débil en FortiPAM que podría permitir a un actor malicioso ejecutar código o comandos no autorizados a través de solicitudes HTTP especialmente diseñadas.
CVE-2025-57741: con una puntuación de 7.8 en CVSS v3.1. Existe una vulnerabilidad de asignación incorrecta de permisos en FortiClientMac que podría permitir a un actor malicioso ejecutar código o comandos arbitrarios localmente mediante secuestro de LaunchDaemon.
CVE-2024–33507: con una puntuación de 7.4 en CVSS v3.1. Existe una vulnerabilidad de caducidad insuficiente de sesión e incorrecta autorización en FortiIsolator que podría permitir a un actor malicioso remoto desautenticar administradores o escalar privilegios mediante manipulación de cookies.
Recomendación
Actualizar a la última versión disponible a través del sitio web oficial del fabricante.
Referencias
- https://www.cve.org/CVERecord?id=CVE-2025-49201
- https://www.cve.org/CVERecord?id=CVE-2025-57741
- https://www.cve.org/CVERecord?id=CVE-2024-33507
- https://fortiguard.fortinet.com/psirt/FG-IR-25-010
- https://fortiguard.fortinet.com/psirt/FG-IR-25-664
- https://fortiguard.fortinet.com/psirt/FG-IR-24-062