Fortinet ha publicado una actualización de seguridad que aborda una vulnerabilidad de alta gravedad en su plataforma FortiOS Security Fabric. Esta falla, identificada como CVE-2024-40591, tiene una puntuación de gravedad CVSSv3 de 8.0 y podría permitir que un administrador autenticado con permisos de Security Fabric escalara sus privilegios al nivel de «superadministrador».
Descripción de la vulnerabilidad
La vulnerabilidad se debe a una gestión incorrecta de privilegios, específicamente a una asignación incorrecta de privilegios. Esta falla afecta a varias versiones de FortiOS:
- FortiOS 7.6.0
- FortiOS 7.4.0–7.4.4
- FortiOS 7.2.0–7.2.9
- FortiOS 7.0.0–7.0.15
- FortiOS 6.4 (todas las versiones, requiere migración)
La vulnerabilidad puede explotarse si un actor malintencionado obtiene el control de un dispositivo FortiGate ascendente. Al conectar un FortiGate específico a este dispositivo ascendente comprometido, el atacante podría aprovechar la asignación incorrecta de privilegios para obtener acceso de superadministrador. Este nivel de acceso otorga un amplio control sobre el sistema afectado, lo que puede provocar importantes brechas de seguridad.
Acciones recomendadas
Fortinet ha instado a los usuarios a actualizar sus instalaciones de FortiOS de inmediato para mitigar este riesgo. Se han publicado versiones de parche específicas para cada rama afectada: versiones 7.6.1, 7.4.5, 7.2.10 y 7.0.16, respectivamente. Se recomienda a los usuarios que ejecuten la versión 6.4 que migren a una versión parcheada. La herramienta de actualización de Fortinet está disponible en línea para ayudar a los usuarios a seleccionar la ruta de actualización adecuada.
Impacto y contexto
FortiOS Security Fabric desempeña un papel vital en la simplificación de la gestión de la seguridad empresarial en varios módulos de Fortinet. Este nivel de acceso puede permitir a los atacantes obtener el control total de la infraestructura de seguridad, lo que puede provocar infracciones generalizadas de la red, exfiltración de datos y otras actividades maliciosas.
La vulnerabilidad fue descubierta e informada internamente por Justin Lum, del equipo de I+D de Fortinet. La vulnerabilidad de FortiOS Security Fabric es un excelente ejemplo del valor para un proveedor de software crítico en las aplicaciones de prueba de penetración realizadas por un recurso interno o externo.