La empresa Fortinet ha publicado el aviso de seguridad FG-IR-26-185, en el que describe una vulnerabilidad de bypass de autenticación en la interfaz web de administración de FortiSandbox. La vulnerabilidad ha recibido una puntuación CVSSv3 9.6 por parte del proveedor y permite que un atacante remoto no autenticado eluda el mecanismo de autenticación mediante solicitudes HTTP especialmente diseñadas. Las organizaciones que utilicen FortiSandbox con una interfaz web accesible desde la red deben realizar de inmediato un inventario y limitar el acceso a la GUI hasta que el proveedor publique recomendaciones detalladas.
Detalles técnicos de la vulnerabilidad
Según el aviso de Fortinet, la vulnerabilidad se clasifica como Authentication Bypass Using an Alternate Path or Channel (CWE-288). Esta clase de vulnerabilidades implica que un atacante puede eludir el mecanismo principal de autenticación utilizando una ruta o canal alternativo para acceder a los recursos protegidos. En este caso, el vector de ataque son solicitudes HTTP especialmente diseñadas dirigidas a la interfaz GUI de FortiSandbox.
Características clave:
- Identificador del aviso: FG-IR-26-185
- Puntuación CVSSv3: 9.6 (asignada por el proveedor; no se ha identificado una evaluación independiente)
- Componente afectado: interfaz web de administración (GUI) de FortiSandbox
- Vector de ataque: remoto, sin necesidad de autenticación
- Identificador CVE: no especificado en el aviso
Es importante señalar que en el aviso disponible no se indican las versiones concretas de FortiSandbox afectadas ni se ha publicado información sobre la disponibilidad de un parche. El estado de explotación activa de la vulnerabilidad tampoco está establecido: en el aviso no hay menciones a su uso en ataques reales.
Evaluación del impacto
FortiSandbox es una solución para el análisis de malware en un entorno aislado, utilizada en redes corporativas para detectar amenazas avanzadas. Un bypass de autenticación en su interfaz de administración representa un riesgo grave: si consigue acceso no autorizado al panel de administración, un atacante podría, potencialmente, influir en la configuración de la sandbox, desactivar mecanismos de detección o acceder a los resultados del análisis de muestras maliciosas.
Están especialmente expuestas las organizaciones cuyo interfaz web de FortiSandbox es accesible desde redes no confiables o desde internet. Dado que el ataque no requiere autenticación y se lleva a cabo mediante solicitudes HTTP, la barrera para la explotación es mínima.
Anteriormente ya analizamos una vulnerabilidad en FortiSandbox — FG-IR-26-166 con una puntuación CVSS 8.9. La nueva vulnerabilidad FG-IR-26-185 tiene una puntuación de criticidad aún mayor, lo que indica una serie continua de problemas de seguridad en este producto.
Recomendaciones
Dado que por el momento el aviso no revela información sobre las versiones afectadas ni sobre los parches disponibles, se recomienda centrarse en reducir la superficie de ataque:
- Realizar un inventario de todas las instancias de FortiSandbox en la infraestructura y determinar cuáles tienen la interfaz GUI accesible desde segmentos de red no confiables o desde internet.
- Restringir el acceso de red a la interfaz web de administración de FortiSandbox: permitir conexiones solo desde direcciones IP de administradores de confianza, utilizando ACL en el firewall o los mecanismos integrados de control de acceso.
- Reforzar la monitorización — supervisar solicitudes HTTP anómalas a la interfaz de administración de FortiSandbox, prestando atención a intentos de acceso a rutas y endpoints no estándar.
- Seguir las actualizaciones del aviso FG-IR-26-185 — Fortinet puede complementarlo con información sobre las versiones afectadas y los parches publicados.
Con una puntuación CVSSv3 9.6 y la ausencia de requisitos de autenticación para su explotación, esta vulnerabilidad requiere atención prioritaria. La acción principal ahora es asegurarse de que la interfaz web de administración de FortiSandbox no sea accesible desde redes no confiables y aplicar rápidamente el parche en cuanto Fortinet publique información sobre las versiones afectadas y la corrección.
