Se ha detectado una vulnerabilidad de severidad alta en FortiManager y FortiManager Cloud que podría permitir la ejecución remota de comandos en el sistema operativo. Esta vulnerabilidad, resultado de una neutralización inadecuada de elementos especiales en los comandos, permite a un atacante remoto autenticado ejecutar código no autorizado mediante solicitudes especialmente diseñadas. Las versiones afectadas incluyen FortiManager 7.6.0, 7.4.4 y versiones anteriores, así como varias versiones de FortiManager Cloud. El impacto potencial de esta vulnerabilidad es grave, ya que podría comprometer la integridad, confidencialidad y disponibilidad del sistema, permitiendo al atacante tomar el control total del dispositivo. Se recomienda encarecidamente aplicar las actualizaciones de seguridad proporcionadas por el fabricante para mitigar este riesgo.
Recursos afectados
- FortiManager 7.6
- FortiManager 7.4
- FortiManager 7.4 Cloud
- FortiManager 7.2
- FortiManager 7.2 Cloud
- FortiManager 7.0
- FortiManager 7.0 Cloud
- FortiManager 6.4
- FortiAnalyzer models 1000E, 1000F, 2000E, 3000E, 3000F, 3000G, 3500E, 3500F, 3500G, 3700F, 3700G, 3900E
Análisis técnico
- CVE-2024-48889: Se ha identificado una vulnerabilidad de Inyección de Comandos de OS en FortiManager versión 7.6.0, versión 7.4.4 y versiones anteriores, versión 7.2.7 y versiones anteriores, versión 7.0.12 y versiones anteriores, versión 6.4.14 y versiones anteriores, así como FortiManager Cloud versión 7.4.4 y versiones anteriores, versión 7.2.7 a 7.2.1, versión 7.0.12 a 7.0.1. Esta vulnerabilidad podría permitir a un atacante remoto autenticado ejecutar código no autorizado a través de solicitudes diseñadas específicamente de FGFM.
- CWE-78
- CVSS: 7.2
- Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
- Explotación: No detectada
Mitigación / Solución
Fortinet recomienda actualizar FortiManager a la versión 7.6.1 o superior, 7.4.5 o superior, 7.2.8 o superior, 7.0.13 o superior, y 6.4.15 o superior para mitigar la vulnerabilidad de inyección de comandos del sistema operativo. Además, los modelos antiguos de FortiAnalyzer listados también se ven afectados y deberían ser actualizados.
Referencias adicionales