Martes, 11 Octubre 2022 14:00

Vulnerabilidad en productos Fortinet

El servicio de Cyberthreats de Entelgy Innotec Security avisa de la publicación de tres vulnerabilidades que afectan a productos de Fortinet.

Nivel de peligrosidad: CRÍTICO.

Fortiguard, una organización de investigación e inteligencia de amenazas que afectan a Fortinet, ha publicado un total de 7 anuncios de seguridad. De estos anuncios se destaca una publicación que ha sido calificada como crítica por parte del fabricante, y dos avisos cuya severidad es alta, afectando a FortiTester, FortiProxy y FortiOS.

La vulnerabilidades han sido descubiertas por los analistas de Fortiguard y el investigador Wilfried Djettchou, y permiten la ejecución de código arbitrario (RCE), llevar a cabo una denegación de servicio (DoS) y realizar ataques de fuerza bruta; pudiendo comprometer de esta manera el sistema vulnerable.

CVE	Impacto	Productos afectados
CVE-2022-33873	Vulnerabilidad que existe debido a una validación de entrada inadecuada dentro de los componentes de inicio de sesión de Console, Telnet y SSH. Un atacante remoto no autenticado puede enviar una solicitud especialmente diseñada a la aplicación y ejecutar comandos arbitrarios del sistema operativo en el sistema de destino.	FortiTester
CVE-2022-29055	Vulnerabilidad causada debido a un error de desviación del puntero NULL en el portal SSL VPN. Un atacante remoto puede enviar una solicitud HTTP GET especialmente diseñada al sistema y bloquear el sslvpn daemon.	FortiOS FortiProxy
CVE-2022-35846	Vulnerabilidad existe debido a la falta de protección de fuerza bruta en el servicio Telnet. Un atacante remoto no autenticado puede adivinar las credenciales de un usuario administrador mediante un ataque de fuerza bruta.	FortiTester

La base de datos del NIST no ha registrado estas vulnerabilidades, por lo tanto, todavía no se les ha asignado puntuación de acuerdo a la escala CVSSv3. No obstante, Fortinet ha calificado la vulnerabilidad CVE-2022-33873 como crítica teniendo una puntuación de 9.6.

Asimismo, el resto de vulnerabilidades se les ha otorgado una criticidad alta. Actualmente no se tiene conocimiento de reportes sobre actividad dañina en la red ni de la disponibilidad de exploits que aprovechen esta vulnerabilidad, así como tampoco se han publicado pruebas de concepto (PoC) sobre los detalles del fallo publicado.

Recursos afectados:

La vulnerabilidad CVE-2022-33873 afecta a los siguientes productos:

FortiOS - Versiones: 7.1.0, 7.0.0, 4.2.0, 4.1.0 - 4.1.1, 4.0.0, 3.9.0 - 3.9.1, 3.8.0, 3.7.0 - 3.7.1, 3.6.0, 3.5.0 - 3.5.1, 3.4.0, 3.3.0 - 3.3.1, 3.2.0, 3.1.0, 3.0.0, 2.9.0, 2.8.0, 2.7.0, 2.6.0, 2.5.0, 2.4.0 - 2.4.1 y 2.3.0

La vulnerabilidad CVE-2022-29055 afecta a los productos según si existe o no la necesidad de autenticación en el sistema:

FortiOS (sin autenticarse) Versiones 6.4.4 - 6.4.9, 7.0.0 - 7.0.5 y 7.2.0
FortiOS (autenticado) Versiones 6.0.0 - 6.0.14, 6.2.0 - 6.2.10 y 6.4.0 - 6.4.3
FortiProxy (sin autenticarse) Versiones 7.0.0 - 7.0.4
FortiProxy (autenticado) Versiones 1.2.6 - 1.2.13 y 2.0.0 - 2.0.9

La vulnerabilidad CVE-2022-35846 afecta a los siguientes productos:

FortiTester Versiones 7.1.0 - 7.1.1, 7.0.0, 4.2.0 - 4.2.1, 4.1.0 - 4.1.1, 4.0.0, 3.9.0 - 3.9.2, 3.8.0, 3.7.0 - 3.7.1, 3.6.0, 3.5.0 - 3.5.1, 3.4.0, 3.3.0 - 3.3.1, 3.2.0, 3.1.0, 3.0.0, 2.9.0, 2.8.0, 2.7.0, 2.6.0, 2.5.0, 2.4.0 - 2.4.1 y 2.3.0

Solución a las vulnerabilidades:

Con la publicación de la última actualización de seguridad, Fortinet ha corregido las vulnerabilidades descritas. Desde la compañía se recomienda actualizar a las versiones destacadas, siguiendo las instrucciones que se ofrecen a continuación:

Recomendaciones:

El servicio de Cyberthreats de Entelgy Innotec Security recomienda encarecidamente a los usuarios y administradores de sistemas que realicen la actualización mencionada con el fin de evitar la exposición a ataques externos y la toma de control de los sistemas informáticos.

Por el momento, no se conocen medidas de mitigación alternativas para esta vulnerabilidad en caso de no ser posible aplicar la actualización descrita.