Fortinet ha advertido de un fallo de seguridad crítico que afecta a su software FortiClientEMS y que podría permitir a los atacantes lograr la ejecución de código en los sistemas afectados.

"Una neutralización incorrecta de los elementos especiales utilizados en un comando SQL ('SQL Injection') vulnerabilidad [CWE-89] en FortiClientEMS puede permitir a un atacante no autenticado ejecutar código no autorizado o comandos a través de solicitudes específicamente diseñados", dijo la compañía en un aviso.

La vulnerabilidad, rastreada como CVE-2023-48788, tiene una calificación CVSS de 9,3 sobre un máximo de 10. Afecta a las siguientes versiones:

• FortiClientEMS 7.2.0 a 7.2.2 (Actualización a 7.2.3 o superior)

• FortiClientEMS 7.0.1 a 7.0.10 (Actualización a 7.0.11 o superior)

Horizon3.ai, que planea publicar detalles técnicos adicionales y un exploit de prueba de concepto (PoC) la próxima semana, dijo que la deficiencia podría ser explotada para obtener la ejecución remota de código como SISTEMA en el servidor.

Fortinet ha dado crédito a Thiago Santana, del equipo de desarrollo de ForticlientEMS, y al Centro Nacional de Ciberseguridad del Reino Unido (NCSC) por descubrir e informar del fallo.

La compañía también ha corregido otros dos fallos críticos en FortiOS y FortiProxy (CVE-2023-42789 y CVE-2023-42790, puntuación CVSS: 9,3) que podrían permitir a un atacante con acceso al portal cautivo ejecutar código o comandos arbitrarios a través de peticiones HTTP especialmente diseñadas.

Los fallos afectan a las siguientes versiones de producto:

• FortiOS versión 7.4.0 a 7.4.1 (Actualización a FortiOS versión 7.4.2 o superior)

• FortiOS versión 7.2.0 a 7.2.5 (Actualización a FortiOS versión 7.2.6 o superior)

• FortiOS versión 7.0.0 a 7.0.12 (Actualización a FortiOS versión 7.0.13 o superior)

• FortiOS versión 6.4.0 a 6.4.14 (Actualización a FortiOS versión 6.4.15 o superior)

• FortiOS versión 6.2.0 a 6.2.15 (Actualización a FortiOS versión 6.2.16 o superior)

• FortiProxy versión 7.4.0 (Actualización a FortiProxy versión 7.4.1 o superior)

• FortiProxy versión 7.2.0 a 7.2.6 (Actualice a FortiProxy versión 7.2.7 o superior)

• FortiProxy versión 7.0.0 a 7.0.12 (Actualización a FortiProxy versión 7.0.13 o superior)

• FortiProxy versión 2.0.0 a 2.0.13 (Actualización a FortiProxy versión 2.0.14 o superior)

Aunque no hay pruebas de que los fallos mencionados hayan sido explotados activamente, los dispositivos de Fortinet sin parches han sido utilizados repetidamente por agentes de amenazas, por lo que es imperativo que los usuarios se muevan rápidamente para aplicar las actualizaciones.

Actualización

La empresa de ciberseguridad Horizon3.ai, en un informe independiente, reveló que dos de las vulnerabilidades de FortiWLM y FortiSIEM que comunicó a Fortinet el año pasado no han sido parcheadas hasta la fecha.

• Lectura limitada no autenticada de archivos de registro - Permite la recuperación de archivos de registro arbitrarios que contienen tokens de ID de sesión de administrador.

• Vulnerabilidad de ID de sesión estática - Los ID de sesión no cambian entre sesiones para los usuarios. Encadenado con el problema anterior permite un compromiso trivial del dispositivo.

"El token de identificación de sesión web de los usuarios autenticados permanece estático, y sin cambios, para los usuarios entre sesiones", dijo el investigador de seguridad Zach Hanley. "Cada vez que un usuario inicia sesión, recibe exactamente el mismo token de ID de sesión. Este token permanece estático para cada arranque del dispositivo".

"Un atacante que pueda obtener este token puede abusar de este comportamiento para secuestrar sesiones y realizar acciones administrativas. Este ID de sesión es recuperable con la vulnerabilidad de lectura limitada de archivos de registro unpatch mencionada anteriormente y se puede utilizar para obtener permisos administrativos en el dispositivo."

Fuente: thehackernews