CVE-2025-67862

CVSS 6 MEDIUMEPSS 0.1%CWE-1244

En resumen

Una vulnerabilidad en Fortinet FortiOS y FortiProxy permite que administradores autenticados ejecuten scripts Lua no autorizados mediante comandos especialmente diseñados. Esto podría permitir que un admin realice acciones no previstas en el dispositivo más allá de sus permisos normales.

Detalle técnico

CWE-1244 expone funcionalidades internas de depuración a través de niveles de acceso inseguros en la CLI de FortiOS/FortiProxy. Un administrador autenticado puede fabricar comandos CLI para ejecutar scripts Lua arbitrarios, eludiendo restricciones previstas. El ataque requiere credenciales admin válidas y acceso a la interfaz CLI; el impacto incluye ejecución de código no autorizado y posible compromiso del sistema.

Resumen generado y traducido por IA a partir de la descripción oficial.

An Internal Asset Exposed to Unsafe Debug Access Level or State vulnerability [CWE-1244] vulnerability in Fortinet FortiOS 7.6.0 through 7.6.2, FortiOS 7.4.0 through 7.4.7, FortiOS 7.2.0 through 7.2.10, FortiOS 7.0.0 through 7.0.16, FortiOS 6.4 all versions, FortiProxy 7.6.0 through 7.6.3, FortiProxy 7.4.0 through 7.4.10, FortiProxy 7.2.0 through 7.2.14, FortiProxy 7.0 all versions may allow an authenticated admin to execute lua scripts via crafted CLI commands.

CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H/E:P/RL:O/RC:C

Productos afectados

Fortinet · FortiOS Fortinet · FortiProxy

¿Quieres saber si tu infraestructura está expuesta a esto?

Hablar con TrueHacking →

Referencias

https://fortiguard.fortinet.com/psirt/FG-IR-26-143