A Fortinet lançou atualizações para resolver uma vulnerabilidade de segurança crítica que afeta sua solução de controle de acesso à rede FortiNAC que pode levar à execução de código arbitrário.

Rastreada como CVE-2023-33299, a falha é avaliada em 9,6 de 10 para gravidade no sistema de pontuação CVSS.

A falha de segurança é descrita como uma “desserialização da vulnerabilidade de dados não confiáveis [ CWE-502 ]” que poderia permitir a execução de códigos ou comandos não autorizados por usuários não autenticados. A vulnerabilidade pode ser explorada através de solicitações especialmente formuladas direcionadas ao serviço tcp/1050, como afirmado pela Fortinet em um comunicado divulgado na última semana.

No início do mês, a Fortinet reconheceu que a vulnerabilidade poderia ser explorada em ataques restritos e direcionados. Esses ataques poderiam ter como alvo especificamente os setores governamentais, de manufatura e infraestrutura crítica.

Em resposta a essa situação, a Agência de Segurança Cibernética e Infraestrutura dos Estados Unidos (CISA) incluiu esta vulnerabilidade em sua lista de vulnerabilidades exploradas conhecidas. Esta inclusão demonstra a importância da vulnerabilidade e o risco que ela representa.

Portanto, é essencial que todos os usuários da FortiNAC implementem as atualizações de segurança fornecidas pela Fortinet, a fim de proteger suas redes contra possíveis ataques explorando esta falha de segurança.