La Agencia de Seguridad de Infraestructura y CiberseguridadLas soluciones de ciberseguridad son esenciales en la era di... de Estados Unidos (CISA, por sus siglas en inglés) ha emitido una advertencia urgente tras confirmar que atacantes están explotando activamente una vulnerabilidad crítica de ejecución remota de código (RCE) en FortiOS. Esta vulnerabilidad, catalogada como CVE-2024-23113, afecta a dispositivos Fortinet no parcheados y permite a actores malintencionados ejecutar comandos o código arbitrario sin autenticación, mediante ataques de baja complejidad que no requieren interacción del usuario.
La vulnerabilidad radica en el daemon fgfmd de Fortinet, encargado de gestionar las solicitudes de autenticación y los mensajes de keep-alive entre FortiGate y FortiManager, entre otras tareas críticas como la actualización de archivos y bases de datos. Según Fortinet, CVE-2024-23113 afecta a varias versiones de sus productos, incluidas FortiOS 7.0 y posteriores, FortiPAM 1.0 y superiores, FortiProxy 7.0 y superiores, y FortiWeb 7.4.
Vulnerabilidad grave y explotación activa
El problema fue descubierto y corregido por Fortinet en febrero de este año, momento en el que la empresa recomendó a los administradores eliminar el acceso al daemon fgfmd desde todas las interfaces, como medida de mitigación para prevenir posibles ataques. Sin embargo, estas advertencias no han sido suficientes, ya que CISA confirmó que los atacantes han comenzado a explotar esta falla en dispositivos vulnerables.
Fortinet también sugirió que se implementen políticas locales para limitar las conexiones FGFM desde direcciones IP específicas. No obstante, advirtió que este tipo de medidas solo reducen la superficie de ataque, pero no previenen la explotación si el ataque proviene de una IP permitida.
Agencias federales obligadas a parchear en tres semanas
Ante la creciente amenaza, CISA ha añadido la vulnerabilidad CVE-2024-23113 a su catálogo de Vulnerabilidades Explotadas Conocidas y ha ordenado a las agencias federales de EE.UU. que parcheen sus dispositivos FortiOS dentro de las próximas tres semanas, es decir, antes del 30 de octubre. Esta directiva, BOD 22-01, fue implementada originalmente en noviembre de 2021 como una medida operativa vinculante para reforzar la ciberseguridad en las redes federales.
«Este tipo de vulnerabilidades son vectores de ataque frecuentes para actores cibernéticos maliciosos y representan riesgos significativos para la infraestructura federal», advirtió CISA en su comunicado.
Precedentes preocupantes: ataques previos a dispositivos Fortinet
No es la primera vez que una vulnerabilidad en FortiOS es aprovechada por ciberatacantes. En junio de este año, el Servicio de Inteligencia y Seguridad Militar de los Países Bajos (MIVD) informó que hackers chinos explotaron otra vulnerabilidad crítica en FortiOS (CVE-2022-42475) entre 2022 y 2023. En esa ocasión, al menos 20.000 dispositivos de seguridad de red Fortigate fueron infectados con malware, lo que evidenció la gravedad de las brechas de seguridad en estos sistemas.
La explotación activa de CVE-2024-23113 subraya la necesidad urgente de que las organizaciones actualicen y refuercen la seguridad de sus dispositivos Fortinet. Las empresas y agencias gubernamentales deben actuar con rapidez para mitigar los riesgos y evitar caer en manos de actores maliciosos que puedan aprovechar estas vulnerabilidades para comprometer redes críticas.
