Investigadores de seguridad han publicado un exploit de prueba de concepto (PoC) para una vulnerabilidad crítica en el software FortiClient Enterprise Management Server (EMS) de Fortinet, que ahora se explota activamente en ataques.
Identificado como CVE-2023-48788, este fallo de seguridad es una inyección SQL en el componente DB2 Administration Server (DAS) descubierto y notificado por el National Cyber Security Centre (NCSC) del Reino Unido.
Afecta a las versiones 7.0 (7.0.1 a 7.0.10) y 7.2 (7.2.0 a 7.2.2) de FortiClient EMS, y permite a los actores de amenazas no autenticados obtener la ejecución remota de código (RCE) con privilegios de SISTEMA en servidores no parcheados en ataques de baja complejidad que no requieren la interacción del usuario.
"Una neutralización incorrecta de los elementos especiales utilizados en una vulnerabilidad de comando SQL ('SQL Injection') [CWE-89] en FortiClientEMS puede permitir a un atacante no autenticado ejecutar código o comandos no autorizados a través de peticiones específicamente diseñadas", explica Fortinet en un aviso de seguridad publicado la semana pasada.
Aunque la compañía no mencionó inicialmente que CVE-2023-48788 estaba siendo utilizado en los ataques, desde entonces ha actualizado silenciosamente el aviso para decir que la "vulnerabilidad es explotada en la naturaleza."
El jueves, una semana después de que Fortinet publicara actualizaciones de seguridad para solucionar el fallo de seguridad, los investigadores de seguridad del equipo de ataque de Horizon3 publicaron un análisis técnico y compartieron un exploit de prueba de concepto (PoC) que ayuda a confirmar si un sistema es vulnerable sin proporcionar capacidades de ejecución remota de código.
Aquellos que quieran utilizar el código de explotación de Horizon3 en ataques RCE deben modificar el PoC para utilizar el procedimiento xp_cmdshell de Microsoft SQL Server para generar un shell de comandos de Windows para la ejecución de código.
"Para convertir esta vulnerabilidad de inyección SQL en una ejecución remota de código, utilizamos la funcionalidad xp_cmdshell integrada en Microsoft SQL Server", explicó James Horseman, investigador de vulnerabilidades de Horizon3.
"Inicialmente, la base de datos no estaba configurada para ejecutar el comando xp_cmdshell, sin embargo se habilitó trivialmente con algunas otras sentencias SQL".
Shodan rastrea actualmente más de 440 servidores FortiClient Enterprise Management Server (EMS) expuestos en línea, mientras que el servicio de monitorización de amenazas Shadowserver encontró más de 300, la mayoría de ellos en Estados Unidos.
En febrero, Fortinet parcheó otro fallo crítico RCE (CVE-2024-21762) en el sistema operativo FortiOS y el proxy web seguro FortiProxy, afirmando que "potencialmente estaba siendo explotado in the wild".
Sin embargo, al día siguiente, CISA confirmó que el fallo CVE-2024-21762 estaba siendo explotado activamente y ordenó a las agencias federales que aseguraran sus dispositivos FortiOS y FortiProxy en un plazo de siete días.
También vale la pena señalar que las vulnerabilidades de seguridad de Fortinet se utilizan con frecuencia para obtener acceso no autorizado a redes corporativas para ataques de ransomware y campañas de ciberespionaje, a menudo utilizando exploits de zero-day.
Fuente: bleepingcomputer