CVE-2024-47575criticalbajo ataqueCWE-306

CVE-2024-47575: fallo crítico en Fortinet FortiManager

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear FortiManager

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

100Vexday Risk Score

Corrige ahora. Ella está bajo explotación confirmada por CISA, tiene alerta oficial del gobierno de Brasil y tiene exploit funcional público.

ssvc Actcvss 9.8epss 95%
de la publicación al arma15 días
Publicada en NVD23 oct
1ª PoC+15d
metasploit23 oct
CISA KEV23 oct
Alerta oficial en Brasil

El gobierno federal de Brasil publicó una alerta, recomendación o boletín que cita esta vulnerabilidad.

  • CTIR Gov · ALERTA 26/2024Vulnerabilidade crítica nos produtos FortiManager e FortiManager Cloudleer en gov.br ↗
Fuente: CTIR Gov (GSI) y CISC Gov.br, bajo licencia CC BY-ND 3.0.
Acción exigida por CISAplazo federal: 2024-11-13

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

En resumen

FortiManager carece de verificación de autenticación en funciones críticas, permitiendo que cualquiera envíe solicitudes especialmente construidas para ejecutar código o comandos arbitrarios en el sistema. Esta es una vulnerabilidad grave que requiere parches inmediatos.

Detalle técnico

CWE-306 (Autenticación Ausente para Función Crítica) en FortiManager versiones 6.2.0–7.6.0 y versiones Cloud correspondientes permite a atacantes no autenticados ejecutar código/comandos arbitrarios mediante solicitudes especialmente construidas a endpoints críticos. No se aplica autenticación antes del procesamiento de operaciones sensibles, habilitando ejecución remota de código sin credenciales válidas.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

A missing authentication for critical function in FortiManager 7.6.0, FortiManager 7.4.0 through 7.4.4, FortiManager 7.2.0 through 7.2.7, FortiManager 7.0.0 through 7.0.12, FortiManager 6.4.0 through 6.4.14, FortiManager 6.2.0 through 6.2.12, Fortinet FortiManager Cloud 7.4.1 through 7.4.4, FortiManager Cloud 7.2.1 through 7.2.7, FortiManager Cloud 7.0.1 through 7.0.12, FortiManager Cloud 6.4.1 through 6.4.7 allows attacker to execute arbitrary code or commands via specially crafted requests.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H/E:H/RL:U/RC:C
Productos afectados
Fortinet · FortiManager
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — Fortinet FortiManager

En el mismo producto, de las más peligrosas a las menos.

CVE-2026-24858CRITICALCVE-2026-24858EPSS 86.6%KEVCVE-2023-25610CRITICALCVE-2023-25610EPSS 18.3%CVE-2024-48884MEDIUMCVE-2024-48884EPSS 15.2%CVE-2021-32589HIGHCVE-2021-32589EPSS 8.9%CVE-2023-42791HIGHCVE-2023-42791EPSS 4.0%CVE-2024-23666HIGHCVE-2024-23666EPSS 2.3%