Con fecha 13 de diciembre del 2022, Fortinet ha identificado una vulnerabilidad 0day de desbordamiento de búfer basado en memoria dinámica (heap), cuya explotación podría permitir a un atacante tomar el control del sistema afectado.

Se ha asignado el identificador CVE-2022-42475 para esta vulnerabilidad.

El fabricante tiene constancia de que esta vulnerabilidad ha sido explotada activamente, y recomienda validar inmediatamente los sistemas potencialmente afectados frente a los IOCs aportados.

Recursos afectados: 

• FortiOS, versiones:
  • desde 7.2.0 hasta 7.2.2;
  • desde 7.0.0 hasta 7.0.8;
  • desde 6.4.0 hasta 6.4.10;
  • desde 6.2.0 hasta 6.2.11.

• FortiOS-6K7K, versiones:
  • desde 7.0.0 hasta 7.0.7;
  • desde 6.4.0 hasta 6.4.9;
  • desde 6.2.0 hasta 6.2.11;
  • desde 6.0.0 hasta 6.0.14.

Descripción:

• Fortinet ha identificado una vulnerabilidad 0day de desbordamiento de búfer basado en memoria dinámica (heap), cuya explotación podría permitir a un atacante tomar el control del sistema afectado. Se ha asignado el identificador CVE-2022-42475 para esta vulnerabilidad.
• Fortinet ha publicado actualizaciones de seguridad para abordar una vulnerabilidad de desbordamiento de búfer basada en montón (CVE-2022-42475) en FortiOS. Un atacante podría aprovechar esta vulnerabilidad para tomar el control de un sistema afectado.
• Una vulnerabilidad de desbordamiento de búfer basada en montón [CWE-122] en FortiOS SSLVPN puede permitir que un atacante remoto no autenticado ejecute código o comandos arbitrarios a través de solicitudes diseñadas específicamente.
• Una nueva falla crítica, aún no hecha pública (Edición 12/12/2022: Fortigate acaba de formalizar la falla: https://www.fortiguard.com/psirt/FG-IR-22-398) preocupa a Fortinet en su Fortigate cortafuegos y, más específicamente, funciones SSL VPN. Un atacante puede realizar manipulación de los recursos dinámicos de ciertos procesos hasta el punto de desviar su operación, el impacto es un código arbitrario o la ejecución de un comando.

Recomendaciones:

Actualizar los productos afectados a las versiones indicadas (o superiores):

• FortiOS:
  • 7.2.3;
  • 7.0.9;
  • 6.4.11;
  • 6.2.12.

• FortiOS-6K7K:
  • 7.0.8;
  • 6.4.10;
  • 6.2.12;
  • 6.0.15.

Referencias:

• https://www.incibe-cert.es/alerta-temprana/avisos-seguridad/desbordamiento-bufer-productos-fortinet
• https://www.fortiguard.com/psirt/FG-IR-22-398
• https://www.cisa.gov/uscert/ncas/current-activity/2022/12/12/fortinet-releases-security-updates-fortios
• https://olympecyberdefense.fr/vpn-ssl-fortigate/
• https://www.auscert.org.au/bulletins/ESB-2022.6458.2