Fortinet ha revelado un nuevo fallo de seguridad crítico en FortiOS SSL VPN que, según afirma, es probable que esté siendo explotado.
La vulnerabilidad, CVE-2024-21762 (puntuación CVSS: 9,6), permite la ejecución de código y comandos arbitrarios.
"Una vulnerabilidad de escritura fuera de los límites [CWE-787] en FortiOS puede permitir a un atacante remoto no autenticado ejecutar código o comandos arbitrarios a través de peticiones HTTP especialmente diseñadas", dijo la compañía en un boletín publicado el jueves.
Además, reconoció que el problema es "potencialmente explotado en la naturaleza", sin dar más detalles acerca de cómo está siendo utilizado y por quién.
Las siguientes versiones están afectadas por la vulnerabilidad. Vale la pena señalar que FortiOS 7.6 no está afectado.
- FortiOS 7.4 (versiones 7.4.0 a 7.4.2) - Actualización a 7.4.3 o superior
- FortiOS 7.2 (versiones 7.2.0 a 7.2.6) - Actualización a 7.2.7 o superior
- FortiOS 7.0 (versiones 7.0.0 a 7.0.13) - Actualización a 7.0.14 o superior
- FortiOS 6.4 (versiones 6.4.0 a 6.4.14) - Actualización a 6.4.15 o superior
- FortiOS 6.2 (versiones 6.2.0 a 6.2.15) - Actualización a 6.2.16 o superior
- FortiOS 6.0 (versiones 6.0 todas las versiones) - Migrar a una versión fija
El desarrollo se produce cuando Fortinet emitió parches para CVE-2024-23108 y CVE-2024-23109, que afectaban al supervisor FortiSIEM, permitiendo a un atacante remoto no autenticado ejecutar comandos no autorizados a través de peticiones API crafteadas.
A principios de esta semana, el gobierno de los Países Bajos reveló que una red informática utilizada por las fuerzas armadas fue infiltrada por actores chinos patrocinados por el estado mediante la explotación de fallos conocidos en los dispositivos Fortinet FortiGate para entregar una puerta trasera llamada COATHANGER.
La empresa, en un informe publicado esta semana, divulgó que vulnerabilidades de seguridad N-day en su software, como CVE-2022-42475 y CVE-2023-27997, están siendo explotadas por múltiples grupos de actividad para atacar a gobiernos, proveedores de servicios, consultorías, fabricación y grandes organizaciones de infraestructuras críticas.
Anteriormente, los actores de amenazas chinos han estado vinculados a la explotación de día cero de fallos de seguridad en dispositivos Fortinet para distribuir una amplia gama de implantes, como BOLDMOVE, THINCRUST y CASTLETAP.
También sigue a un aviso del gobierno de EE.UU sobre un grupo de estado-nación chino apodado Volt Typhoon, que se ha dirigido a infraestructuras críticas del país para persistir a largo plazo sin ser descubierto aprovechando fallos conocidos y de zero-day en dispositivos de red como los de Fortinet, Ivanti Connect Secure, NETGEAR, Citrix y Cisco para el acceso inicial.
China, que ha negado las acusaciones, acusó a Estados Unidos de llevar a cabo sus propios ciberataques.
En todo caso, las campañas llevadas a cabo por China y Rusia ponen de relieve la creciente amenaza a la que se enfrentan los dispositivos periféricos orientados a Internet en los últimos años debido al hecho de que estas tecnologías carecen de soporte de detección y respuesta de puntos finales (EDR), lo que las hace propicias para el abuso.
"Estos ataques demuestran el uso de vulnerabilidades N-day ya resueltas y técnicas subsiguientes [living-off-the-land], que son altamente indicativas del comportamiento empleado por el ciberactor o grupo de actores conocido como Volt Typhoon, que ha estado utilizando estos métodos para atacar infraestructuras críticas y potencialmente a otros actores adyacentes", dijo Fortinet.
Fuente: thehackernews