FortiPresence: acceso remoto sin contraseña a Redis y MongoDB (CVE-2022-41331; 9.3). Una autenticación faltante para una vulnerabilidad de función crítica [CWE-306] en el servidor de infraestructura de FortiPresence puede permitir que un atacante remoto no autenticado acceda a las instancias de Redis y MongoDB a través de solicitudes de autenticación manipuladas. FortiSandbox/FortiDeceptor: control de acceso inadecuado basado en perfiles sobre las API (CVE-2022-27487; 8.3). Una vulnerabilidad de administración de privilegios incorrecta [CWE-269] en FortiSandbox y FortiDeceptor puede permitir que un atacante remoto autenticado realice llamadas API no autorizadas a través de solicitudes HTTP o HTTPS manipuladas.

FortiOS y FortiProxy: vulnerabilidades de secuencias de comandos entre sitios en la interfaz administrativa (CVE-2022-41330; 8.3). Las múltiples vulnerabilidades de neutralización incorrecta de la entrada durante la generación de la página web ("Cross-site Scripting") [CWE-79] en la interfaz administrativa de FortiOS y FortiProxy pueden permitir que un atacante no autenticado realice un ataque XSS a través de solicitudes HTTP o HTTPS GET manipuladas.

FortiWeb: vulnerabilidad XSS en archivos de informes de ataques generados en HTML (CVE-2022-43955; 8). Una neutralización incorrecta de la entrada durante la generación de la página web [CWE-79] en la interfaz web de FortiWeb puede permitir que un atacante remoto no autenticado realice un ataque de secuencias de comandos en sitios cruzados (XSS) reflejado mediante la inyección de carga útil maliciosa en las entradas de registro utilizadas para crear el informe.

FortiClient (Windows): acceso de escritura incorrecto sobre el objeto de canalización de FortiClient (CVE-2022-43946; 7.3). Múltiples vulnerabilidades, incluida una asignación de permisos incorrecta para la vulnerabilidad de recursos críticos [CWE-732] y una vulnerabilidad de condición de carrera de tiempo de verificación y tiempo de uso (TOCTOU) [CWE-367] en FortiClientWindows puede permitir que un atacante comparta el mismo archivo red para ejecutar comandos a través de la escritura de datos en una tubería de Windows.

FortiSOAR - Inyección de plantilla del lado del servidor en la ejecución del libro de jugadas (CVE-2023-27995; 7.2). Una neutralización incorrecta de elementos especiales utilizados en una vulnerabilidad de motor de plantilla [CWE-1336] en la interfaz de administración de FortiSOAR puede permitir que un atacante remoto y autenticado ejecute código arbitrario a través de una carga útil manipulada.

FortiClient (Windows): creación de archivos arbitrarios de usuarios sin privilegios debido a la suplantación de procesos (CVE-2022-40682; 7.1). Una vulnerabilidad de autorización incorrecta [CWE-863] en FortiClient (Windows) puede permitir que un atacante local con pocos privilegios realice la creación de archivos arbitrarios en el sistema de archivos del dispositivo.

Se publicó un aviso de seguridad que afectaba a una versión del Kernel de Linux utilizado en FortiAuthenticator, FortiProxy y FortiSIEM (CVE-2022-0847; 7.1). Se encontró una falla en la forma en que el miembro "flags" de la nueva estructura de búfer de tubería carecía de la inicialización adecuada en las funciones copy_page_to_iter_pipe y push_pipe en el kernel de Linux y, por lo tanto, podría contener valores obsoletos. Un usuario local sin privilegios podría usar esta falla para escribir en páginas en el caché de la página respaldado por archivos de solo lectura y, como tal, escalar sus privilegios en el sistema.

FortiClientWindows: creación de archivos arbitrarios por parte de usuarios sin privilegios (CVE-2022-42470; 7.1). Una vulnerabilidad de cruce de ruta relativa [CWE-23] en FortiClientWindows puede permitir que un atacante local con pocos privilegios realice la creación de archivos arbitrarios en el sistema de archivos del dispositivo.

FortiADC & FortiDDoS & FortiDDoS-F - Inyección de comandos en el módulo de registro e informe (CVE-2022-40679; 7.1). Una neutralización inadecuada de elementos especiales utilizados en una vulnerabilidad de comando del sistema operativo [CWE-78] en FortiADC, FortiDDoS y FortiDDoS-F puede permitir que un atacante autenticado ejecute comandos no autorizados a través de argumentos diseñados específicamente para los comandos existentes.

Para más información, cualquier otra incidencia o problema de seguridad, puede ponerse en contacto a través de nuestra dirección de correo csirt@seresco.es