Fortinet ha publicado actualizaciones de seguridad para abordar una falla crítica de seguridad que impacta a Fortiswitch que podría permitir que un atacante realice cambios de contraseña no autorizados.
La vulnerabilidad, rastreada como CVE-2024-48887lleva una puntuación CVSS de 9.3 de un máximo de 10.0.
«Una vulnerabilidad de cambio de contraseña no verificada (CWE-620) en Fortiswitch GUI puede permitir que un atacante remoto no autenticado modifique las contraseñas de administración a través de una solicitud especialmente diseñada», dijo Fortinet en un aviso publicado hoy.
La deficiencia impacta las siguientes versiones –
- Fortiswitch 7.6.0 (actualizar a 7.6.1 o superior)
- Fortiswitch 7.4.0 a 7.4.4 (actualizar a 7.4.5 o superior)
- Fortiswitch 7.2.0 a 7.2.8 (actualizar a 7.2.9 o superior)
- Fortiswitch 7.0.0 a 7.0.10 (actualizar a 7.0.11 o superior), y
- Fortiswitch 6.4.0 a 6.4.14 (actualizar a 6.4.15 o superior)
La compañía de seguridad de la red dijo que el agujero de seguridad fue descubierto e informado internamente por Daniel Rozeboom, del equipo de desarrollo de UI de Fortiswitch Web.
Como solución, Fortinet recomienda deshabilitar el acceso HTTP/HTTPS desde las interfaces administrativas y restringir el acceso al sistema solo a los hosts de confianza.
Si bien no hay evidencia de que la vulnerabilidad haya sido explotada, una serie de fallas de seguridad que afectan los productos Fortinet han sido armados por actores de amenaza, lo que hace que los usuarios se muevan rápidamente para aplicar los parches.