CVE-2023-27997criticalbajo ataqueransomwareCWE-122

CVE-2023-27997: fallo crítico en Fortinet FortiOS

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear FortiOS+ Monitorear FortiProxy

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

100Vexday Risk Score

Prioriza la corrección. Ella está bajo explotación confirmada por CISA, tiene alerta oficial del gobierno de Brasil y tiene prueba de concepto pública.

ssvc Actcvss 9.2epss 87%
de la publicación al arma3 días
Publicada en NVD13 jun
1ª PoC+3d
CISA KEV13 jun
Alerta oficial en Brasil

El gobierno federal de Brasil publicó una alerta, recomendación o boletín que cita esta vulnerabilidad.

Fuente: CTIR Gov (GSI) y CISC Gov.br, bajo licencia CC BY-ND 3.0.
Acción exigida por CISAplazo federal: 2023-07-04

Apply updates per vendor instructions.

En resumen

Una falla de desbordamiento de memoria en FortiOS y FortiProxy permite que un atacante remoto ejecute código malicioso mediante solicitudes especialmente diseñadas, sin necesidad de autenticación.

Detalle técnico

Desbordamiento de heap (CWE-122) en el componente SSL-VPN disparado por solicitudes remotas especialmente construidas permite ejecución arbitraria de código. Vector de ataque es a través de red sin autenticación requerida; afecta FortiOS versiones 7.2.4 y anteriores, 7.0.11 y anteriores, 6.4.12 y anteriores, 6.0.16 y anteriores, además de múltiples versiones de FortiProxy.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

A heap-based buffer overflow vulnerability [CWE-122] in FortiOS version 7.2.4 and below, version 7.0.11 and below, version 6.4.12 and below, version 6.0.16 and below and FortiProxy version 7.2.3 and below, version 7.0.9 and below, version 2.0.12 and below, version 1.2 all versions, version 1.1 all versions SSL-VPN may allow a remote attacker to execute arbitrary code or commands via specifically crafted requests.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H/E:F/RL:X/RC:R
Productos afectados
Fortinet · FortiOSFortinet · FortiOS-6K7KFortinet · FortiProxy
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — Fortinet FortiOS

En el mismo producto, de las más peligrosas a las menos.

CVE-2022-42475CRITICALCVE-2022-42475EPSS 99.5%KEVCVE-2024-55591CRITICALCVE-2024-55591EPSS 94.3%KEVCVE-2026-24858CRITICALCVE-2026-24858EPSS 86.6%KEVCVE-2024-21762CRITICALCVE-2024-21762EPSS 84.6%KEVCVE-2025-59718CRITICALCVE-2025-59718EPSS 68.1%KEVCVE-2024-23113CRITICALCVE-2024-23113EPSS 61.7%KEV