Protege lo que importa
Protege endpoints, correo electrónico y empleados con el poder de nuestro SOC 24/7. Prueba Huntress gratis y despliega en minutos para empezar a combatir las amenazas.
Vulnerabilidad CVE-2023-27997
Vulnerabilidad CVE-2023-27997
Publicado: 20/10/2026
Escrito por: Nadine Rozell
¿Qué es la vulnerabilidad CVE-2023-27997?
CVE-2023-27997, conocida con frecuencia como XORtigate, es una vulnerabilidad crítica de ejecución remota de código (RCE) que afecta a los dispositivos Fortinet FortiOS y FortiProxy.
Es un desbordamiento de búfer basado en montón (heap) ubicado en el portal web de SSL-VPN. La falla permite que un atacante remoto no autenticado ejecute código o comandos arbitrarios en el dispositivo mediante el envío de solicitudes HTTP especialmente diseñadas. Debido a que esta vulnerabilidad es accesible antes de la autenticación, evade controles de seguridad como la autenticación multifactor (MFA), lo que la convierte en un punto de entrada extremadamente peligroso para los atacantes. Se le ha asignado una puntuación CVSS de 9.8 (crítica).
¿Cuándo se descubrió?
CVE-2023-27997 fue descubierta por los investigadores de seguridad Charles Fol y Dany Bach de la firma francesa de ciberseguridad Lexfo. La vulnerabilidad se divulgó de forma responsable a Fortinet, que publicó un aviso de seguridad (FG-IR-23-097) y parches el 12 de junio de 2023. La divulgación pública y los detalles técnicos se dieron a conocer poco después, y los investigadores señalaron que podría haber sido explotada en un número limitado de casos antes de su publicación pública.
Productos y versiones afectados
La vulnerabilidad afecta a una amplia gama de productos Fortinet que tienen habilitado el portal web de SSL-VPN.
Producto | Versiones afectadas | Versiones corregidas / enlaces de parches |
FortiOS | 7.2.0 hasta 7.2.4 | Actualizar a 7.2.5 o superior |
FortiOS | 7.0.0 hasta 7.0.11 | Actualizar a 7.0.12 o superior |
FortiOS | 6.4.0 hasta 6.4.12 | Actualizar a 6.4.13 o superior |
FortiOS | 6.2.0 hasta 6.2.13 | Actualizar a 6.2.14 o superior |
FortiOS | 6.0.0 hasta 6.0.16 | Actualizar a 6.0.17 o superior |
FortiProxy | 7.2.0 hasta 7.2.3 | Actualizar a 7.2.4 o superior |
FortiProxy | 7.0.0 hasta 7.0.9 | Actualizar a 7.0.10 o superior |
FortiProxy | 2.0.0 hasta 2.0.12 | Actualizar a 2.0.13 o superior |
Descripción técnica de CVE-2023-27997
La vulnerabilidad reside en la forma en que el portal SSL-VPN procesa parámetros HTTP específicos, particularmente dentro de los endpoints /remote/hostcheck_validate y /remote/logincheck.
La causa raíz es un desbordamiento de búfer basado en heap provocado por una verificación de longitud incorrecta al decodificar el parámetro enc. La aplicación asigna un búfer según el tamaño de entrada, pero no valida correctamente la longitud del payload debido a un error de truncamiento, donde la longitud se almacena en una variable de 8 bits en lugar de un tipo más grande.
Un atacante puede explotar esto creando una solicitud con una longitud de payload que parece válida para la verificación truncada, pero que en realidad excede el tamaño del búfer asignado. Esto le permite al atacante escribir datos fuera de los límites en el heap. Al manipular el diseño del heap, a menudo usando técnicas que involucran "heap smashing", los atacantes pueden sobrescribir estructuras críticas de memoria (como punteros de función o estructuras SSL) para secuestrar el flujo de ejecución y tomar control del dispositivo.
Tácticas, técnicas y procedimientos (TTPs)
Los atacantes explotan CVE-2023-27997 principalmente para acceso inicial y evasión de defensas.
Reconocimiento: Los actores de amenazas escanean internet en busca de dispositivos FortiGate que devuelven el encabezado Server: xxxxxxxx-xxxxx o detalles específicos del certificado SSL para identificar versiones de firmware vulnerables.
Explotación: Envían solicitudes HTTP GET o POST maliciosas que contienen parámetros enc manipulados a la interfaz SSL-VPN.
Persistencia: Una vez lograda la ejecución de código, los atacantes suelen descargar binarios livianos (como BusyBox) para abrir una shell interactiva, lo que les permite instalar webshells, robar archivos de configuración o moverse lateralmente dentro de la red interna.
Indicadores de compromiso
Detectar este exploit puede ser difícil porque el tráfico está cifrado dentro del túnel SSL-VPN, pero existen varios indicadores:
Fallos del sistema: Los intentos de explotación fallidos suelen hacer que el proceso SSL-VPN o el dispositivo completo se bloquee y se reinicie. Los reinicios frecuentes e inexplicables del sistema son un fuerte indicador.
Solicitudes HTTP sospechosas: Busca solicitudes a /remote/hostcheck_validate o /remote/logincheck con parámetros enc inusualmente largos o malformados en los registros web.
Binarios desconocidos: La presencia de archivos o binarios no reconocidos en /tmp u otros directorios temporales del dispositivo.
Anomalías en los registros: Revisa los registros en busca de eventos de "application crashed" o sesiones de inicio de sesión administrativas inesperadas originadas desde el propio dispositivo.
Pruebas de concepto y exploits conocidos
Los exploits de prueba de concepto (PoC) están ampliamente disponibles y han sido verificados por varias firmas de seguridad.
Investigadores de seguridad de Bishop Fox y WatchTowr desarrollaron exploits totalmente funcionales poco después de la divulgación, demostrando la capacidad de provocar un heap smashing y abrir una reverse shell en dispositivos vulnerables. Se han observado campañas de explotación en el mundo real, a menudo dirigidas a dispositivos perimetrales sin parchear para implementar ransomware o realizar espionaje.
Cómo detectar la vulnerabilidad CVE-2023-27997
Verificación de versión: El método de detección más confiable es verificar la versión de firmware de tu dispositivo FortiGate o FortiProxy con la tabla de "Productos afectados" anterior. Si la versión aparece en la lista, el dispositivo es vulnerable.
Análisis de encabezados de respuesta: Algunas herramientas pueden consultar el encabezado HTTP Last-Modified del servidor web del dispositivo; fechas anteriores a mayo/junio de 2023 sugieren un firmware sin parchear.
Verificaciones de integridad: Los administradores pueden ejecutar el comando diagnose sys fortiguard-service status u otros comandos de integridad integrados para detectar modificaciones no autorizadas en el sistema de archivos.
Impacto y riesgo de la vulnerabilidad CVE-2023-27997
El riesgo que representa CVE-2023-27997 es crítico.
Una explotación exitosa le otorga al atacante ejecución remota de código (RCE) con los privilegios más altos en el dispositivo. Dado que los dispositivos Fortinet a menudo se ubican en el perímetro de una red, un compromiso aquí ofrece una cabeza de playa perfecta para que los atacantes inspeccionen el tráfico, descifren conexiones VPN, roben credenciales y lancen ataques contra servidores internos. Esto evita por completo la autenticación, lo que significa que ni siquiera contraseñas fuertes ni MFA ofrecen defensa alguna contra la explotación inicial.
Estrategias de mitigación y remediación
La única solución completa es parchear de inmediato.
Actualizar el firmware: Actualiza FortiOS o FortiProxy a la última versión no vulnerable (por ejemplo, 7.4.0, 7.2.5, 7.0.12, 6.4.13).
Deshabilitar SSL-VPN: Si no es posible parchear de inmediato, la única solución alternativa efectiva es deshabilitar por completo la funcionalidad SSL-VPN. Las reglas de firewall que limitan el acceso al portal VPN son útiles, pero no solucionan la vulnerabilidad subyacente si el puerto sigue siendo accesible para los atacantes.
Preguntas frecuentes sobre la vulnerabilidad CVE-2023-27997
CVE-2023-27997 es una vulnerabilidad crítica en los dispositivos SSL-VPN de Fortinet que permite la ejecución remota de código (RCE). Funciona al enviar una solicitud maliciosa que provoca un "desbordamiento de búfer en el heap", lo que confunde la gestión de memoria del dispositivo y permite que el atacante ejecute sus propios comandos.
No "infecta" un sistema como lo haría un virus, sino que sirve como puerta de entrada para los atacantes. Un atacante envía una solicitud web especialmente diseñada a la página de inicio de sesión de la VPN, lo que colapsa las protecciones de memoria y le permite instalar malware o abrir una "shell" para controlar el dispositivo.
Sí, sigue siendo una amenaza importante para cualquier organización que use firmware desactualizado. Dado que el exploit es público y fácil de automatizar, los atacantes continúan escaneando internet en busca de dispositivos Fortinet sin parchear para usarlos como puntos de entrada en ataques de ransomware.
La protección principal es actualizar el firmware del dispositivo a una versión parcheada de inmediato. Si eso no es posible, las organizaciones deben deshabilitar por completo la función SSL-VPN hasta que se pueda aplicar la actualización.
