TLP:CLEAR   PAP:WHITE 
Avisos de seguridad de Fortinet

Descripción
FG-IR-23-007 FortiEDR [alto]: el token de API de sesión no caduca después de una renovación.
Una vulnerabilidad de caducidad de sesión insuficiente [CWE-613] en FortiEDR puede permitir a un atacante reutilizar el token de acceso API del usuario no vencido para obtener privilegios, en caso de que el atacante pueda obtener ese token de acceso API (a través de otros ataques hipotéticos. (CVE-2023-33303)

FG-IR-23-202 FortiMail [alto]: adquisición de cuenta de correo electrónico en el mismo dominio web.
Una vulnerabilidad de autorización incorrecta [CWE-863] en el correo web de FortiMail puede permitir que un atacante autenticado inicie sesión en cuentas de otros usuarios desde el mismo dominio web a través de solicitudes HTTP o HTTP diseñadas. (CVE-2023-36556)

FG-IR-23-062 FortiManager [alto]: control de acceso entre ADOM inadecuado.
Una vulnerabilidad de control de acceso inadecuado [CWE-284] en la interfaz de administración de FortiManager puede permitir que un atacante remoto y autenticado con al menos permiso de "administración de dispositivos" en su perfil y perteneciente a un ADOM específico agregue y elimine scripts CLI en otros ADOM. (CVE-2023-41679)

FG-IR-23-167 FortiManager / FortiAnalyzer [alto]: Inyección de comandos del sistema operativo.
Una neutralización inadecuada de elementos especiales utilizados en una vulnerabilidad de comando del sistema operativo ('Inyección de comando del sistema operativo') [CWE-78] en FortiManager y FortiAnalyzer puede permitir que un atacante local con privilegios bajos ejecute código no autorizado a través de argumentos específicamente diseñados para un comando CLI. (CVE-2023-42788)

FG-IR-23-189 FortiManager y FortiAnalyzer [alto]: recorrido de ruta mediante carga de archivos sin restricciones.
Una vulnerabilidad de recorrido de ruta relativa [CVE-23] en FortiManager y FortiAnalyzer puede permitir que un atacante remoto con privilegios bajos ejecute código no autorizado a través de solicitudes HTTP diseñadas. (CVE-2023-42791)

FG-IR-22-352 FortiManager, FortiAnalyzer, FortiADC [alto]: inyección de comandos debido a un uso inseguro de la función.
Una neutralización inadecuada de elementos especiales utilizados en una vulnerabilidad de comando del sistema operativo ('inyección de comando del sistema operativo') [CWE-78] en la interfaz de administración de FortiManager, FortiAnalyzer y FortiADC puede permitir que un atacante autenticado con al menos permisos de LECTURA en la configuración del sistema ejecute comandos arbitrarios en el shell subyacente debido a un uso inseguro de la función wordexp. (CVE-2023-25607)

FG-IR-23-318 FortiOS [alto]: autorización incorrecta a través del perfil prof-admin.
Una vulnerabilidad de autorización inadecuada [CWE-285] en el componente WEB UI de FortiOS puede permitir que un atacante autenticado que pertenece al perfil prof-admin realice acciones elevadas. (CVE-2023-41841)

FG-IR-23-140 FortiWLM [crítico]: vulnerabilidad de inyección de comandos no autenticados.
Múltiples vulnerabilidades de neutralización inadecuada de elementos especiales utilizados en un comando del sistema operativo ("inyección de comando del sistema operativo") [CWE-78] en FortiWLM pueden permitir que un atacante remoto no autenticado ejecute comandos no autorizados a través de parámetros de solicitud de obtención http específicamente diseñados. (CVE-2023-34993)

FG-IR-23-141 FortiWLM [alta]: vulnerabilidad de inyección de comando autenticada.
Múltiples vulnerabilidades de neutralización inadecuada de elementos especiales utilizados en un comando del sistema operativo [CWE-78] en FortiWLM pueden permitir que un atacante remoto autenticado con privilegios bajos ejecute comandos no autorizados a través de parámetros de solicitud de obtención http específicamente diseñados. (CVE-2023-34989)

FG-IR-23-130 FortiSIEM [crítico]: inyección remota de comandos del sistema operativo no autenticado.
Una neutralización inadecuada de elementos especiales utilizados en una vulnerabilidad de comando del sistema operativo [CWE-78] en el supervisor FortiSIEM puede permitir que un atacante remoto no autenticado ejecute comandos no autorizados a través de solicitudes API diseñadas. (CVE-2023-34992)
Productos afectados
FG-IR-23-007 FG-IR-23-202 FG-IR-23-062 FG-IR-23-167 FG-IR-23-189 FG-IR-22-352 FG-IR-23-318 FG-IR-23-140 FG-IR-23-141 FG-IR-23-130
Riesgo
Crítico
Soluciones
Se recomienda a todos los usuarios y administradores actualizar todos los productos con las versiones señaladas por el fabricante para cada caso. Las directrices para cada versión y producto vienen reflejadas en los boletines originales.
Referencias
Publicación oficial
Contacto
Para más información, cualquier otra incidencia o problema de seguridad, puede ponerse en contacto a través de nuestra dirección de correo csirt@seresco.es