Resumen ejecutivo
Fortinet ha publicado dos vulnerabilidades críticas que afectan a múltiples productos como FortiOS, FortiMail, FortiVoice y otros. La primera permite la ejecución remota de código sin autenticación debido a un desbordamiento de búfer. La segunda permite eludir mecanismos de autenticación en entornos TACACS+ ASCII. Aunque no se ha detectado explotación activa, se recomienda actualizar urgentemente los sistemas afectados.
Recursos afectados
- Fortinet FortiOS (versiones específicas: 7.6.0 y desde la versión 7.4.4 hasta la versión 7.4.6)
- FortiProxy (versiones 7.6.0 y 7.6.1)
- FortiSwitchManager (versión 7.2.5)
- FortiVoice (versiones 7.2.0, 7.0.0, 7.0.6, 6.4.0 y 6.4.10)
- FortiRecorder (versiones 7.2.0, 7.2.3, 7.0.0, 7.0.5, 6.4.0 y 6.4.5)
- FortiMail (versiones 7.6.0, 7.6.2, de la 7.4.0 a la 7.4.4, de la 7.2.0 a la 7.2.7, de la 7.0.0 a la 7.0.8)
- FortiNDR (versiones 7.6.0, de la 7.4.0 a la 7.4.7, de la 7.2.0 a la 7.2.4, de la 7.0.0 a la 7.0.6)
- FortiCamera (versiones 2.1.0 a 2.1.3, 2.0 y 1.1)
- TACACS+ con autenticación ASCII en dispositivos Fortinet (versiones específicas: 7.6.0 y desde la versión 7.4.4 hasta la versión 7.4.6)
Análisis técnico
- CVE-2025-32756: Una vulnerabilidad de desbordamiento de búfer basado en pila [CWE-121] en las versiones de Fortinet FortiVoice 7.2.0, 7.0.0 a 7.0.6, 6.4.0 a 6.4.10, las versiones de FortiRecorder 7.2.0 a 7.2.3, 7.0.0 a 7.0.5, 6.4.0 a 6.4.5, las versiones de FortiMail 7.6.0 a 7.6.2, 7.4.0 a 7.4.4, 7.2.0 a 7.2.7, 7.0.0 a 7.0.8, las versiones de FortiNDR 7.6.0, 7.4.0 a 7.4.7, 7.2.0 a 7.2.4, 7.0.0 a 7.0.6 y las versiones de FortiCamera 2.1.0 a 2.1.3, todas las versiones de 2.0 y 1.1, permite a un atacante remoto sin autenticación ejecutar código o comandos arbitrarios a través del envío de solicitudes HTTP con una cookie hash especialmente diseñada.
- CWE-121
- CVSS: 9.8 (crítica)
- Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
- Explotación: No detectada
- CVE-2025-22252: Reservado a fecha de publicación de este aviso.
- CWE-N/A
- CVSS: N/A
- Vector CVSS: N/A
- Explotación: No detectada
Mitigación / Solución
Fortinet recomienda actualizar todos los productos afectados a versiones no vulnerables más recientes: FortiOS 7.6.0 debe actualizarse a 7.6.1 o superior, FortiOS entre 7.4.4 y 7.4.6 a 7.4.7 o superior, FortiProxy 7.6.0/7.6.1 a 7.6.2 o superior, y FortiSwitchManager 7.2.5 a 7.2.6 o superior. Para mitigar la vulnerabilidad asociada a TACACS+, se aconseja deshabilitar la autenticación ASCII y utilizar métodos más seguros como PAP, MSCHAP o CHAP. En dispositivos Fortinet puede configurarse el tipo de autenticación para evitar el uso de ASCII por defecto. Asimismo, se recomienda aplicar políticas de acceso basadas en IP para restringir el acceso administrativo a direcciones confiables. Fortinet proporciona una herramienta para planificar la ruta de actualización en https://docs.fortinet.com/upgrade-tool.