Alerta de Seguridad por nuevas vulnerabilidades y actualizaciones de seguridad para diferentes productos de Fortinet | Marzo 2023

■ Contexto:

El 7 de marzo del presente año, la empresa de soluciones de ciberseguridad, Fortinet, ha lanzado nuevas actualizaciones de seguridad para diferentes productos tecnológicos, que abordan 15 vulnerabilidades de severidad Bajo, Medio, Alto y Crítico.

■ Descripción: 

🔥 La primera falla de seguridad, ha sido rastreada cómo CVE-2022-29056 y tiene un puntaje CVSS v3 de 3.5/10 (Bajo).

Una restricción inadecuada de la vulnerabilidad de intentos de autenticación excesivos [CWE-307] en FortiAuthenticator, FortiDeceptor y FortiMail puede permitir que un atacante remoto no autenticado agote parcialmente la CPU y la memoria mediante el envío de numerosas solicitudes HTTP al formulario de inicio de sesión.

🔥 La segunda falla de seguridad, ha sido rastreada cómo CVE-2023-25611 y tiene un puntaje CVSS v3 de 4.0/10 (Medio).

Una neutralización incorrecta de la vulnerabilidad de elementos de fórmula (CWE 1236) en FortiAnalyzer puede permitir que un atacante privilegiado local autenticado ejecute código arbitrario en el host del usuario final mediante la inserción de fórmulas de hoja de cálculo en los nombres de las macros. Esto se logra una vez que el usuario descarga y abre los archivos de informe CSV.

🔥 La tercera falla de seguridad, ha sido rastreada cómo CVE-2023-23776 y tiene un puntaje CVSS v3 de 4.6/10 (Medio).

Una vulnerabilidad de exposición de información confidencial a un actor no autorizado [CWE-200] en FortiAnalyzer puede permitir que un atacante remoto autenticado lea la contraseña de la máquina cliente en texto sin formato en una respuesta de latido cuando se realiza una solicitud de búsqueda de registro desde FortiAnalyzer

🔥 La cuarta falla de seguridad, ha sido rastreada cómo CVE-2022-27490 y tiene un puntaje CVSS v3 de 5.1/10 (Medio).

Una exposición de información confidencial a una vulnerabilidad de actor no autorizado [CWE-200] en FortiManager, FortiAnalyzer, FortiPortal y FortiSwitch puede permitir que un atacante que haya obtenido acceso a una cuenta administrativa restringida obtenga información confidencial a través de los comandos «diagnosticar depuración».

🔥 La quinta falla de seguridad, ha sido rastreada cómo CVE-2022-22297 y tiene un puntaje CVSS v3 de 5.2/10 (Medio).

Un filtrado incompleto de una o más instancias de vulnerabilidad de elementos especiales [CWE-792] en el intérprete de línea de comandos de FortiRecorder y FortiWeb puede permitir que un usuario autenticado lea archivos arbitrarios a través de argumentos de comando especialmente diseñados.

🔥 La sexta falla de seguridad, ha sido rastreada cómo CVE-2022-45861 y tiene un puntaje CVSS v3 de 6.4/10 (Medio).

Un acceso de vulnerabilidad de puntero no inicializado [CWE-824] en el portal SSL-VPN de FortiOS y FortiProxy puede permitir que un atacante remoto autenticado bloquee el demonio sslvpn a través de una solicitud HTTP GET.

🔥 La séptima falla de seguridad, ha sido rastreada cómo CVE-2022-41328 y tiene un puntaje CVSS v3 de 6.5/10 (Medio).

Una limitación incorrecta de un nombre de ruta a una vulnerabilidad de directorio restringido («recorrido de ruta») [CWE-22] en FortiOS puede permitir que un atacante privilegiado lea y escriba archivos arbitrarios a través de comandos CLI manipulados.

🔥 La Octava falla de seguridad, ha sido rastreada cómo CVE-2022-41329 y tiene un puntaje CVSS v3 de 5.2/10 (Medio).

Una exposición de información confidencial a una vulnerabilidad de actor no autorizado [CWE-200] en FortiOS y FortiProxy puede permitir que un atacante no autenticado obtenga información de registro confidencial en el dispositivo a través de solicitudes HTTP GET manipuladas.

🔥 La Novena falla de seguridad, ha sido rastreada cómo CVE-2022-41333 y tiene un puntaje CVSS v3 de 6.8/10 (Medio).

Una vulnerabilidad de consumo de recursos no controlado [CWE-400] en el mecanismo de autenticación de inicio de sesión de FortiRecorder puede permitir que un atacante no autenticado haga que el dispositivo no esté disponible a través de solicitudes GET manipuladas.

🔥 La Decima falla de seguridad, ha sido rastreada cómo CVE-2023-25605 y tiene un puntaje CVSS v3 de 7.5/10 (Alto).

Una vulnerabilidad de control de acceso inadecuado [CWE-284] en el componente del libro de jugadas de FortiSOAR puede permitir que un atacante autenticado en la interfaz administrativa realice acciones no autorizadas a través de solicitudes HTTP manipuladas.

🔥 La Decimoprimera falla de seguridad, ha sido rastreada cómo CVE-2022-39951 y tiene un puntaje CVSS v3 de 7.2/10 (Alto).

Una neutralización inadecuada de elementos especiales utilizados en una vulnerabilidad de comando del sistema operativo («Inyección de comando del sistema operativo») [CWE-78] en FortiWeb puede permitir que los usuarios autenticados ejecuten código o comandos no autorizados a través de solicitudes HTTP específicamente diseñadas.

🔥 La Decimosegunda falla de seguridad, ha sido rastreada cómo CVE-2022-40676 y tiene un puntaje CVSS v3 de 7.1/10 (Alto).

Una vulnerabilidad de neutralización incorrecta de la entrada durante la generación de la página web («Cross-site Scripting») [CWE-79] en FortiNAC puede permitir que un usuario autenticado realice un ataque XSS a través de solicitudes HTTP manipuladas.

🔥 La Decimotercera falla de seguridad, ha sido rastreada cómo CVE-2022-42476 y tiene un puntaje CVSS v3 de 7.8/10 (Alto).

Una vulnerabilidad de cruce de ruta relativa [CWE-23] en FortiOS y FortiProxy puede permitir que los administradores privilegiados de VDOM escalen sus privilegios a superadministradores de la caja a través de solicitudes CLI diseñadas.

🔥 La Decimocuarta falla de seguridad, ha sido rastreada cómo CVE-2022-39953 y tiene un puntaje CVSS v3 de 7.8/10 (Alto).

Una vulnerabilidad de administración de privilegios incorrecta [CWE-269] en FortiNAC puede permitir que un usuario local de privilegios bajos con acceso de shell ejecute comandos arbitrarios como root.

🔥 La Decimoquinta falla de seguridad, ha sido rastreada cómo CVE-2023-25610 y tiene un puntaje CVSS v3 de 9.3/10 (Crítico).

Una vulnerabilidad de subescritura de búfer («desbordamiento de búfer») en la interfaz administrativa de FortiOS y FortiProxy puede permitir que un atacante remoto no autenticado ejecute código arbitrario en el dispositivo y/o realice un DoS en la GUI, a través de solicitudes diseñadas específicamente.

■ Resumen de Vulnerabilidades por Colores:

 🟢 = Bajo | 🟡 = Medio | 🔴 = Alto | 🟣 = Crítico

• 🟢 CVE-2022-29056 – CVSS v3 3.5/10
• 🟡 CVE-2023-25611 – CVSS v3 4.0/10
• 🟡 CVE-2023-23776 – CVSS v3 4.6/10
• 🟡 CVE-2022-27490 – CVSS v3 5.1/10
• 🟡 CVE-2022-22297 – CVSS v3 5.2/10
• 🟡 CVE-2022-45861 – CVSS v3 6.4/10
• 🟡 CVE-2022-41328 – CVSS v3 6.5/10
• 🟡 CVE-2022-41329 – CVSS v3 5.2/10
• 🟡 CVE-2022-41333 – CVSS v3 6.8/10
• 🔴 CVE-2023-25605 – CVSS v3 7.5/10
• 🔴 CVE-2022-39951 – CVSS v3 7.2/10
• 🔴 CVE-2022-40676 – CVSS v3 7.1/10
• 🔴 CVE-2022-42476 – CVSS v3 7.8/10
• 🔴 CVE-2022-39953 – CVSS v3 7.8/10
• 🟣 CVE-2023-25610 – CVSS v3 9.3/10

■ Versiones Vulnerables: 

CVE-2022-29056 – CVSS v3 3.5/10:

• FortiAuthenticator version 6.4  all versions
• FortiAuthenticator version 6.3  all versions
• FortiAuthenticator version 6.2  all versions
• FortiAuthenticator version 6.1  all versions
• FortiAuthenticator version 6.0  all versions
• FortiAuthenticator version 5.5  all versions
• FortiAuthenticator version 5.4  all versions
• FortiDeceptor version 3.1  all versions
• FortiDeceptor version 3.0  all versions
• FortiDeceptor version 2.1 all versions
• FortiDeceptor version 2.0  all versions
• FortiDeceptor version 1.1  all versions
• FortiDeceptor version 1.0  all versions
• FortiMail version 6.4.0
• FortiMail version 6.2.1 through 6.2.4
• FortiMail version 6.0.0 through 6.0.9

CVE-2023-25611 – CVSS v3 4.0/10:

• FortiAnalyzer versión 7.2.0 a 7.2.1
• FortiAnalyzer versión 7.0.0 a 7.0.5
• FortiAnalyzer 6.4 todas las versiones

CVE-2023-23776 – CVSS v3 4.6/10:

• FortiAnalyzer versión 7.2.0 a 7.2.1
• FortiAnalyzer versión 7.0.0 a 7.0.4
• FortiAnalyzer versión 6.4.0 a 6.4.10

CVE-2022-27490 – CVSS v3 5.1/10:

• At least
  FortiManager version 6.0.0 through 6.0.4

• At least
  FortiAnalyzer version 6.0.0 through 6.0.4
  At least
  FortiPortal 4.1 all versions
  FortiPortal 4.2 all versions
  FortiPortal 5.0 all versions
  FortiPortal 5.1 all versions
  FortiPortal 5.2 all versions
  FortiPortal 5.3 all versions
  FortiPortal version 6.0.0 through 6.0.9

• At least
  FortiSwitch version 6.0.0 through 6.0.7
  FortiSwitch version 6.2.0 through 6.2.7
  FortiSwitch version 6.4.0 through 6.4.10
  FortiSwitch version 7.0.0 through 7.0.4

CVE-2022-22297 – CVSS v3 5.2/10:

• FortiWeb versión 6.4.0 a 6.4.1
• FortiWeb versión 6.3.0 a 6.3.17
• FortiWeb todas las versiones 6.2
• FortiWeb todas las versiones 6.1
• FortiWeb todas las versiones
• 6.0 FortiRecorder versión 6.4.0 a 6.4.3
• FortiRecorder todas las versiones 6.0
• FortiRecorder todas las versiones 2.7

CVE-2022-45861 – CVSS v3 6.4/10:

• FortiOS version 7.2.0 through 7.2.3
• FortiOS version 7.0.0 through 7.0.9
• FortiOS version 6.4.0 through 6.4.11
• FortiOS 6.2 all versions

• FortiProxy version 7.2.0 through 7.2.1
• FortiProxy version 7.0.0 through 7.0.7
• FortiProxy version 2.0.0 through 2.0.11
• FortiProxy 1.2 all versions
• FortiProxy 1.1 all versions

CVE-2022-41328 – CVSS v3 6.5/10:

• FortiOS version 7.2.0 through 7.2.3
• FortiOS version 7.0.0 through 7.0.9
• FortiOS version 6.4.0 through 6.4.11
• FortiOS 6.2 all versions
• FortiOS 6.0 all versions

CVE-2022-41329 – CVSS v3 5.2/10:

• FortiProxy version 7.2.0 through 7.2.2
• FortiProxy version 7.0.0 through 7.0.8
• FortiOS version 7.2.0 through 7.2.3
• FortiOS version 7.0.0 through 7.0.9
• FortiOS version 6.4.0 through 6.4.11
• FortiOS version 6.2.3 and above

CVE-2022-41333 – CVSS v3 6.8/10:

• FortiRecorder 6.4.3 and below,
• FortiRecorder 6.0.11 to 6.0.0

CVE-2023-25605 – CVSS v3 7.5/10:

• FortiSOAR version 7.3.0 through 7.3.1

CVE-2022-39951 – CVSS v3 7.2/10:

• FortiWeb version 7.0.0 through 7.0.2
• FortiWeb version 6.3.6 through 6.3.20
• FortiWeb 6.4 all versions

CVE-2022-40676 – CVSS v3 7.1/10:

• FortiNAC versión 9.4.0
• FortiNAC versión 9.2.0 a 9.2.5
• FortiNAC versión 9.1.0 a 9.1.8
• FortiNAC todas las versiones 8.8, 8.7, 8.6, 8.5, 8.3

CVE-2022-42476 – CVSS v3 7.8/10:

• FortiOS versión 7.2.0 a 7.2.3
• FortiOS versión 7.0.0 a 7.0.8
• FortiOS versión 6.4.0 a 6.4.11
• FortiOS versión 6.2.0 a 6.2.12
• FortiProxy versión 7.2.0 a 7.2.1
• FortiProxy versión 7.0.0 a 7.0.7
• FortiProxy versión 2.0.0 a 2.0.11
• FortiProxy versión 1.2.0 a 1.2.13
• FortiProxy versión 1.1.0 a 1.1.6
• Nota: El impacto en FortiProxy 7.0.x, 2.0.x, 1.2.x, 1.1.x es menor ya que no tiene VDOM

CVE-2022-39953 – CVSS v3 7.8/10:

• FortiNAC versión 9.4.0 a 9.4.1
• FortiNAC versión 9.2.0 a 9.2.6
• FortiNAC versión 9.1.0 a 9.1.8
• FortiNAC todas las versiones 8.8, 8.7, 8.6, 8.5, 8.3

CVE-2023-25610 – CVSS v3 9.3/10:

• FortiOS versión 7.2.0 a 7.2.3
• FortiOS versión 7.0.0 a 7.0.9
• FortiOS versión 6.4.0 a 6.4.11
• FortiOS versión 6.2.0 a 6.2.12
• FortiOS 6.0 todas las versiones
• FortiProxy versión 7.2.0 a 7.2.2
• FortiProxy versión 7.0.0 a 7.0.8
• FortiProxy versión 2.0.0 a 2.0.11
• FortiProxy 1.2 todas las versiones
• FortiProxy 1.1 todas las versiones

■ Recomendación de Seguridad:

CVE-2022-29056 – CVSS v3 3.5/10:

• Actualice a FortiAuthenticator versión 6.5.0 o superior,
• Actualice a FortiDeceptor versión 3.2.0 o superior.
• Actualice a la versión 6.4.1 o superior de FortiMail,
• Actualice a la versión 6.2.5 o superior de FortiMail,
• Actualice a la versión 6.0.10 o superior de FortiMail.

CVE-2023-25611 – CVSS v3 4.0/10:

• Actualice a FortiAnalyzer versión 7.2.2 o superior
• Actualice a FortiAnalyzer versión 7.0.6 o superior

CVE-2023-23776 – CVSS v3 4.6/10:

• Actualice a FortiAnalyzer versión 7.2.2 o superior
• Actualice a FortiAnalyzer versión 7.0.5 o superior
• Actualice a FortiAnalyzer versión 6.4.11 o superior

CVE-2022-27490 – CVSS v3 5.1/10:

• Actualice a FortiManager versión 6.0.5 y superior,
• Actualice a FortiManager versión 6.2.0 y superior.
• Actualice a FortiAnalyzer versión 6.0.5 y superior,
• Actualice a FortiAnalyzer versión 6.2.0 y superior.
• Actualice a FortiPortal versión 6.0.10 y superior.
• Actualice a FortiSwitch versión 6.4.11 y superior,
• Actualice a FortiSwitch versión 7.0.5 y superior.

CVE-2022-22297 – CVSS v3 5.2/10:

• Actualice a FortiWeb versión 7.0.0 o superior,
• Actualice a FortiWeb versión 6.4.2 o superior.
• Actualice a FortiWeb versión 6.3.18 o superior.
• Actualizar a FortiRecorder versión 7.0.0 o superior
• Actualizar a FortiRecorder versión 6.4.4 o superior

CVE-2022-45861 – CVSS v3 6.4/10:

• Actualice a FortiOS versión 7.2.4 o superior
• Actualice a FortiOS versión 7.0.10 o superior
• Actualice a FortiOS versión 6.4.12 o superior
• Actualice a FortiProxy versión 7.2.2 o superior
• Actualice a FortiProxy versión 7.0.8 o superior
• Actualice a FortiProxy versión 2.0.12 o superior

CVE-2022-41328 – CVSS v3 6.5/10:

• Actualice a FortiOS versión 7.2.4 o superior
• Actualice a FortiOS versión 7.0.10 o superior
• Actualice a FortiOS versión 6.4.12 o superior

CVE-2022-41329 – CVSS v3 5.2/10:

• Actualice a FortiProxy versión 7.2.2 o superior
• Actualice a FortiProxy versión 7.0.8 o superior
• Actualice a FortiOS versión 7.2.4 o superior
• Actualice a FortiOS versión 7.0.10 o superior
• Actualice a FortiOS versión 6.4.11 o superior

CVE-2022-41333 – CVSS v3 6.8/10:

• Actualice a FortiRecorder versión 7.0.0 o superior
• Actualice a FortiRecorder versión 6.4.4 o superior
• Actualice a FortiRecorder versión 6.0.12 o superior

CVE-2023-25605 – CVSS v3 7.5/10:

• Actualice a FortiSOAR versión 7.3.2 o superior

CVE-2022-39951 – CVSS v3 7.2/10:

• Actualice a FortiWeb versión 7.2.0 o superior
• Actualice a FortiWeb versión 7.0.3 o superior
• Actualice a FortiWeb versión 6.3.21 o superior

CVE-2022-40676 – CVSS v3 7.1/10:

• Actualice a FortiNAC versión 9.4.1 o superior
• Actualice a FortiNAC versión 9.2.6 o superior
• Actualice a FortiNAC versión 9.1.9 o superior
• Actualice a FortiNAC versión 7.2.0 o superior

CVE-2022-42476 – CVSS v3 7.8/10:

• Actualice a FortiProxy versión 7.2.2 o superior
• Actualice a FortiProxy versión 7.0.8 o superior
• Actualice a FortiOS versión 7.2.4 o superior
• Actualice a FortiOS versión 7.0.9 o superior
• Actualice a FortiOS versión 6.4.12 o superior
• Actualice a FortiOS versión 6.2.13 o superior

CVE-2022-39953 – CVSS v3 7.8/10:

• Actualice a FortiNAC versión 9.4.2 o superior
• Actualice a FortiNAC versión 9.2.7 o superior
• Actualice a FortiNAC versión 9.1.9 o superior
• Actualice a FortiNAC versión 7.2.0 o superior

CVE-2023-25610 – CVSS v3 9.3/10:

• Actualice a FortiOS versión 7.4.0 o superior
• Actualice a FortiOS versión 7.2.4 o superior
• Actualice a FortiOS versión 7.0.10 o superior
• Actualice a FortiOS versión 6.4.12 o superior
• Actualice a FortiOS versión 6.2.13 o superior
• Actualice a FortiProxy versión 7.2.3 o superior
• Actualice a FortiProxy versión 7.0.9 o superior
• Actualice a FortiProxy versión 2.0.12 o superior
• Actualice a FortiOS-6K7K versión 7.0.10 o superior
• Actualice a FortiOS-6K7K versión 6.4 .12 o superior
• Actualice a FortiOS-6K7K versión 6.2.13 o superior

■ Comunicados de Fortinet:

• https://www.fortiguard.com/psirt/FG-IR-22-488
• https://www.fortiguard.com/psirt/FG-IR-22-447
• https://www.fortiguard.com/psirt/FG-IR-20-078
• https://www.fortiguard.com/psirt/FG-IR-18-232
• https://www.fortiguard.com/psirt/FG-IR-22-281
• https://www.fortiguard.com/psirt/FG-IR-22-309
• https://www.fortiguard.com/psirt/FG-IR-22-477
• https://www.fortiguard.com/psirt/FG-IR-22-369
• https://www.fortiguard.com/psirt/FG-IR-23-001
• https://www.fortiguard.com/psirt/FG-IR-22-401
• https://www.fortiguard.com/psirt/FG-IR-22-364
• https://www.fortiguard.com/psirt/FG-IR-22-388
• https://www.fortiguard.com/psirt/FG-IR-23-050
• https://www.fortiguard.com/psirt/FG-IR-22-254
• https://www.fortiguard.com/psirt/FG-IR-21-218

Departamento De Comunicaciones

© 2026 CronUp Ciberseguridad. Todos los derechos reservados. Este contenido está protegido por la Ley Nº 17.336. Se permite su uso informativo citando la fuente y enlazando el artículo original. Su reproducción o uso sin atribución constituye infracción.