Producto(s) afectado(s): 

FortiSwitch

• 7.6, versiones anteriores a 7.6.1
• 7.4, versiones anteriores a 7.4.5
• 7.2, versiones anteriores a 7.2.9
• 7.0, versiones anteriores a 7.0.11
• 6.4, versiones anteriores a 6.4.15

FortiAnalyzer

• 7.4, versiones anteriores a 7.4.3
• 7.2, versiones anteriores a 7.2.5
• 7.0, versiones anteriores a 7.0.12
• 6.4, versiones anteriores a 6.4.15
• 6.2, versiones anteriores a 6.2.14

FortiManager

• 7.4, versiones anteriores a 7.4.3
• 7.2, versiones anteriores a 7.2.5
• 7.0, versiones anteriores a 7.0.12
• 6.4, versiones anteriores a 6.4.15
• 6.2, versiones anteriores a 6.2.14

FortiOS

• 7.4, versiones anteriores a 7.4.5
• 7.2, versiones anteriores a 7.2.9
• 7.0, versiones anteriores a 7.0.16
• 6.4, todas las versiones
• 6.2, versiones anteriores a 6.2.17

FortiProxy

• 7.4, versiones anteriores a 7.4.3
• 7.2, versiones anteriores a 7.2.10
• 7.0, versiones anteriores a 7.0.16
• 2.0, todas las versiones

FortiVoice

• 7.0, versiones anteriores a 7.0.3
• 6.4, versiones anteriores a 6.4.9
• 6.0, todas las versiones

FortiWeb

• 7.4, versiones anteriores a 7.4.3
• 7.2, todas las versiones
• 7.0, todas las versiones

Descripción

Se reportaron nuevas vulnerabilidades en algunos productos de Fortinet. Las mismas podrían permitir una escalada de privilegios o una omisión de funciones de seguridad. Entre las mas críticas podemos descatar a CVE-2024-48887 con un score CVSSv3 de 9.3 y CVE-2024-26013 con CVSSv3 de 7.1.

A continuación detallamos las vulnerabilidades mas importantes:

• CVE-2024-48887: con puntuación de 9.3 en CVSS. Esta vulnerabilidad de cambio de contraseña no verificada [CWE-620] en la GUI de FortiSwitch podría permitir que un actor malicioso remoto no autenticado modifique las contraseñas de administrador a través de una solicitud especialmente diseñada. 

• CVE-2024-26013: con puntuación de 7.1 en CVSS. Esta vulnerabilidad podría permitir a un actor malicioso no autenticado en una posición intermedia se haga pasar por el dispositivo de administración (servidor FortiCloud y/o en ciertas condiciones, FortiManager), al interceptar la solicitud de autenticación FGFM entre el dispositivo de administración y el dispositivo administrado.

Mitigación

El equipo de Fortinet ha publicado una serie de instrucciones de mitigación temporal para la vulnerabilidad CVE-2024-48887

• Deshabilitar el acceso HTTP/HTTPS desde las interfaces administrativas
• Configure hosts confiables para limitar los hosts que pueden conectarse al sistema:

config system admin
edit <admin_name>
set {trusthost1 | trusthost2 | trusthost3 | trusthost4 |
trusthost5 | trusthost6 | trusthost7 | trusthost8 | trusthost9
| trusthost10} <address_ipv4mask>
next
end

Solución

El equipo de Fortinet ha preparado parches de seguridad para ambas vulnerabilidades, puede verificar la versiones corregidas en la tabla siguiente:

Software/Version	Version Afectada	Version Corregida
FortiAnalyzer 7.6	No afectado	No aplicable
FortiAnalyzer 7.4	7.4.0 a 7.4.2	Actualice a 7.4.3 o superior
FortiAnalyzer 7.2	7.2.0 a 7.2.4	Actualice a 7.2.5 o superior
FortiAnalyzer 7.0	7.0.0 a 7.0.11	Actualice a 7.0.12 o superior
FortiAnalyzer 6.4	6.4.0 a 6.4.14	Actualice a 6.4.15 o superior
FortiAnalyzer 6.2	6.2.0 a 6.2.13	Actualice a 6.2.14 o superior
FortiManager 7.6	No afectado	No aplicable
FortiManager 7.4	7.4.0 a 7.4.2	Actualice a 7.4.3 o superior
FortiManager 7.2	7.2.0 a 7.2.4	Actualice a 7.2.5 o superior
FortiManager 7.0	7.0.0 a 7.0.11	Actualice a 7.0.12 o superior
FortiManager 6.4	6.4.0 a 6.4.14	Actualice a 6.4.15 o superior
FortiManager 6.2	6.2.0 a 6.2.13	Actualice a 6.2.14 o superior
FortiOS 7.6	No afectado	No aplicable
FortiOS 7.4	7.4.0 a 7.4.4	Actualice a 7.4.5 o superior
FortiOS 7.2	7.2.0 a 7.2.8	Actualice a 7.2.9 o superior
FortiOS 7.0	7.0.0 a 7.0.15	Actualice a 7.0.16 o superior
FortiOS 6.4	6.4 todas las versiones	Migrar a una versión fija
FortiOS 6.2	6.2.0 a 6.2.16	Actualice a 6.2.17 o superior
FortiProxy 7.6	No afectado	No aplicable
FortiProxy 7.4	7.4.0 a 7.4.2	Actualice a 7.4.3 o superior
FortiProxy 7.2	7.2.0 a 7.2.9	Actualice a 7.2.10 o superior
FortiProxy 7.0	7.0.0 a 7.0.15	Actualice a 7.0.16 o superior
FortiProxy 2.0	2.0 todas las versiones	Migrar a una versión fija
FortiVoice 7.2	No afectado	No aplicable
FortiVoice 7.0	7.0.0 a 7.0.2	Actualice a 7.0.3 o superior
FortiVoice 6.4	6.4.0 a 6.4.8	Actualice a 6.4.9 o superior
FortiVoice 6.0	6.0 todas las versiones	Migrar a una versión fija
FortiWeb 7.6	No afectado	No aplicable
FortiWeb 7.4	7.4.0 a 7.4.2	Actualice a 7.4.3 o superior
FortiWeb 7.2	7.2 todas las versiones	Migrar a una versión fija
FortiWeb 7.0	7.0 todas las versiones	Migrar a una versión fija
FortiSwitch 7.6	7.6.0	Actualice a 7.6.1 o superior
FortiSwitch 7.4	7.4.0 a 7.4.4	Actualice a 7.4.5 o superior
FortiSwitch 7.2	7.2.0 a 7.2.8	Actualice a 7.2.9 o superior
FortiSwitch 7.0	7.0.0 a 7.0.10	Actualice a 7.0.11 o superior
FortiSwitch 6.4	6.4.0 a 6.4.14	Actualice a 6.4.15 o superior

En este enlace https://docs.fortinet.com/upgrade-tool puede encontrar una herramienta proveída por Fortinet para la actualización.

Información adicional:

• https://fortiguard.fortinet.com/psirt/FG-IR-24-046
• https://www.fortiguard.com/psirt/FG-IR-24-435
• https://www.cve.org/CVERecord?id=CVE-2024-26013
• https://www.cert.gov.py/vulnerabilidades-en-productos-de-fortinet/