Fecha de publicación: 09/02/2024
Nivel de peligrosidad: CRÍTICO
El CCN-CERT, del Centro Criptológico Nacional, informa que el fabricante Fortinet ha publicado unos avisos de seguridad entre los que se destacan dos vulnerabilidades que han sido clasificadas con una severidad crítica.
Las vulnerabilidades destacadas permiten la ejecución de código arbitrario, pudiendo comprometer de esta manera el sistema de destino.
- CVE-2024-21762: Vulnerabilidad debida a un boundary error al procesar peticiones HTTP en sslvpnd. Un atacante remoto puede enviar peticiones HTTP especialmente diseñadas al servicio SSL-VPN, desencadenar una escritura fuera de límites y ejecutar código arbitrario en el sistema de destino.
- CVE-2024-23113: Vulnerabilidad en el uso de cadenas de formato controladas externamente en el demonio fgfmd de FortiOS. Un atacante remoto no autenticado puede enviar solicitudes especialmente diseñadas al dispositivo y ejecutar código arbitrario en el sistema de destino.
La base de datos del NIST ha registrado una de las vulnerabilidades descritas, aunque aún no se les ha asignado una puntuación de acuerdo a la escala CVSSv3. Fortinet, sin embargo, ha asignado a los fallos un nivel crítico. Actualmente se conoce que la vulnerabilidad CVE-2024-21762 está siendo potencialmente explotada. Sin embargo, se desconoce la disponibilidad de exploits que aprovechen estas vulnerabilidades, así como tampoco se han publicado pruebas de concepto (PoC) sobre los detalles del fallo publicado.
Recursos afectados
Las vulnerabilidades reportadas afectan a los siguientes productos y a las versiones correspondientes de FortiOS:
- 7.4.0-7.4.2
- 7.2.0-7.2.6
- 7.0.0-7.0.13
- 6.4.0-6.4.14
- 6.2.0-6.2.15
- Todas las versiones de 6.0
Soluciones a las vulnerabilidades
Con la publicación de las últimas actualizaciones de seguridad, Fortinet ha corregido las vulnerabilidades descritas. Desde la compañía se recomienda actualizar a las versiones destacadas para los productos FortiOS:
- Actualizar a FortiOS versión 7.4.3 o superior.
- Actualizar a FortiOS versión 7.2.7 o superior.
- Actualizar a FortiOS versión 7.0.14 o superior.
- Actualizar a FortiOS versión 6.4.15 o superior.
Puede seguir la ruta de actualización recomendada por la herramienta proporcionada por FortiNet.
El CCN-CERT recomienda encarecidamente a los usuarios y administradores de sistemas que realicen las actualizaciones mencionadas con el fin de evitar la exposición a ataques externos y la toma de control de los sistemas informáticos.
Referencias
