Fortinet ha publicado Una vulnerabilidad de omisión de autenticación mediante una ruta o canal alternativo [CWE-288] en FortiManager y FortiManager Cloud puede permitir que un atacante remoto no autenticado se haga pasar por cualquier FortiGate administrado por FortiManager con una opción de CLI específica configurada a través de solicitudes FGFM manipuladas si el atacante tiene un certificado válido.
¿Qué ocurre?
Se ha descubierto una vulnerabilidad de bypass de autenticación en el mecanismo FGFM utilizado para la comunicación entre FortiManager y los FortiGate gestionados. Un atacante remoto no autenticado, que disponga de un certificado válido y se encuentre bajo determinadas condiciones de configuración CLI, podría enviar peticiones FGFM manipuladas y suplantar la identidad de un FortiGate gestionado por el FortiManager.
Impacto
El impacto puede ser alto, ya que el atacante podría conseguir acceso no autorizado y hacerse pasar por un FortiGate legítimo. La vulnerabilidad tiene un CVSS 7.3 (High) y afecta potencialmente a la confidencialidad, integridad y disponibilidad del sistema. En un entorno empresarial, esto es especialmente relevante porque FortiManager centraliza la gestión de múltiples FortiGate.
¿Qué versiones están afectadas?
FortiManager: 7.2.5 → 7.2.9 7.4.3 → 7.4.5 7.6.1 FortiManager Cloud: 7.2.5 → 7.2.9 7.4.3 → 7.4.5 7.6.1 Las versiones corregidas son: 7.2.10 o superior 7.4.6 o superior 7.6.2 o superior
Mitigación
La principal medida recomendada es actualizar FortiManager/FortiManager Cloud a una versión corregida: 7.2.10+ 7.4.6+ 7.6.2+
Conclusión
FG-IR-26-160 es una vulnerabilidad importante porque permite saltarse determinados controles de autenticación del mecanismo FGFM y suplantar un FortiGate gestionado. Aunque el ataque requiere unas condiciones concretas y tiene una complejidad alta, el impacto potencial es elevado en entornos donde FortiManager administra muchos firewalls. Recomendación: comprobar inmediatamente las versiones de FortiManager y FortiManager Cloud y actualizar a 7.2.10+, 7.4.6+ o 7.6.2+, según la rama utilizada.