Vulnerabilidad identificada como CVE-2025-32756
Fortinet ha revelado una vulnerabilidad crítica de desbordamiento de búfer basada en pila, identificada como CVE-2025-32756. Esta vulnerabilidad afecta a una amplia gama de sus productos de seguridad y red. Con una puntuación CVSS de 9,6, permite a atacantes remotos no autenticados ejecutar código o comandos arbitrarios mediante solicitudes HTTP especialmente diseñadas.
Confirmada explotación activa
Fortinet ha confirmado que la vulnerabilidad está siendo explotada activamente, especialmente en sistemas FortiVoice. Según el aviso de Fortinet, una vulnerabilidad de desbordamiento basado en pila (CWE-121) en productos como FortiVoice, FortiMail, FortiNDR, FortiRecorder y FortiCamera podría permitir que un atacante remoto no autenticado ejecute código o comandos arbitrarios mediante solicitudes HTTP diseñadas.
Acciones maliciosas en incidentes confirmados
En al menos un incidente confirmado, los actores de amenazas explotaron la vulnerabilidad CVE-2025-32756 en un sistema FortiVoice para obtener acceso no autorizado. Los atacantes ejecutaron diversas acciones maliciosas, incluyendo escanear redes internas, habilitar la depuración de FCGI para recopilar credenciales y borrar registros de fallos para ocultar pruebas.
Productos afectados
Los siguientes productos de Fortinet son vulnerables si no se actualizan a las versiones especificadas o superiores:
- FortiVoice: versiones 6.4.0–6.4.10, 7.0.0–7.0.6 y 7.2.0.
- FortiMail: versiones hasta la 7.6.2.
- FortiNDR: todas las versiones 1.x y versiones 7.x anteriores a la 7.6.1.
- FortiRecorder: versiones hasta la 7.2.3.
- FortiCamera: versiones hasta la 2.1.3.
Recomendaciones de seguridad
Se recomienda encarecidamente a los usuarios que actualicen inmediatamente a las versiones con parches que se indican en el aviso o que migren a versiones corregidas.
Archivos y registros asociados
Fortinet proporcionó una lista completa de archivos, procesos y registros asociados con explotaciones conocidas. Entre ellos se incluyen:
- Archivos modificados o añadidos como /bin/wpad_ac_helper, /lib/libfmlogin.so y /tmp/.sshdpm, utilizados para registrar y exfiltrar credenciales.
- Trabajos cron añadidos para extraer contraseñas de los registros de depuración.
Direcciones IP de actores de amenazas
Las direcciones IP de los actores de amenazas incluyen:
- 198.105.127[.124
- 43.228.217[.173
- 156.236.76[.90
- 218.187.69[.244
Verificación de depuración maliciosa de FCGI
Para verificar que la depuración de FCGI esté habilitada maliciosamente, se puede ejecutar el siguiente comando:
diag debug application fcgi
Indicador de vulnerabilidad
Si el resultado incluye:
general to-file ENABLED, esto es un fuerte indicador de vulnerabilidad.
Opciones alternativas en caso de no aplicar parches inmediatamente
Si no es posible aplicar parches de inmediato, Fortinet recomienda:
- Deshabilitar las interfaces administrativas HTTP/HTTPS.
- Restringir el acceso administrativo a redes internas de confianza.
- Monitorear los dispositivos afectados para detectar IoC conocidos.
Fuente del aviso
Fuente: SecurityOnline
