CVE-2025-24472: fallo de gravedad alta en Fortinet FortiOS
Publicada el · Actualizada el
Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.
Prioriza la corrección. Ella está bajo explotación confirmada por CISA y 1 grupo(s) de amenaza la utilizan.
Grupos conocidos por explotar esta vulnerabilidad (atribución MITRE ATT&CK).
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Un atacante que conoce los números de serie de los dispositivos puede eludir la autenticación en FortiOS y FortiProxy cuando Security Fabric está habilitado, obteniendo acceso administrativo completo sin iniciar sesión.
Omisión de autenticación (CWE-288) en FortiOS 7.0.0–7.0.16 y FortiProxy 7.2.0–7.2.12, 7.0.0–7.0.19 permite que atacantes remotos no autenticados escalen privilegios a super-admin mediante solicitudes CSF proxy manipuladas cuando Security Fabric está activado; requiere conocimiento previo de los números de serie de los dispositivos upstream y downstream.
El análisis completo de esta CVE está disponible en portugués →
En el mismo producto, de las más peligrosas a las menos.