Protege lo que importa
Protege endpoints, correo electrónico y empleados con el poder de nuestro SOC 24/7. Prueba Huntress gratis y despliega en minutos para empezar a combatir las amenazas.
Vulnerabilidad CVE-2024-21762
Vulnerabilidad CVE-2024-21762
Escrito por: Monica Burgess
Publicado: 07/11/25
Descripción general
CVE-2024-21762 es una vulnerabilidad crítica de escritura fuera de límites que se encuentra en FortiOS de Fortinet, el sistema operativo de sus firewalls FortiGate. Esta falla permite que un atacante remoto no autenticado ejecute código o comandos arbitrarios mediante solicitudes HTTP especialmente diseñadas. En esencia, un actor malicioso desde cualquier parte del mundo podría potencialmente tomar el control total de un sistema vulnerable.
¿Qué es la vulnerabilidad CVE-2024-21762?
La vulnerabilidad CVE-2024-21762 es una debilidad crítica de ejecución remota de código (RCE) en las VPN SSL de FortiGate. Con una puntuación CVSS de 9,8 sobre 10, es casi tan grave como puede ser. El problema se origina en un error de escritura fuera de límites en el proceso sslvpnd, que gestiona las conexiones SSL VPN. Un atacante puede enviar una solicitud HTTP maliciosa al dispositivo, lo que desencadena la vulnerabilidad y le permite ejecutar su propio código en el sistema objetivo con privilegios de root. Esto significa que pueden comprometer por completo el dispositivo de seguridad.
¿Cuándo se descubrió?
Fortinet reveló la vulnerabilidad CVE-2024-21762 el 8 de febrero de 2024, como parte de un aviso de seguridad (FG-IR-24-015). Ese mismo día, la Agencia de Ciberseguridad y Seguridad de Infraestructura de EE. UU. (CISA) la agregó a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV), lo que indicaba evidencia de explotación activa en el entorno real. Esta línea de tiempo tan acelerada resalta el riesgo grave e inmediato que esta vulnerabilidad representó para las organizaciones que usan productos de Fortinet afectados.
Productos y versiones afectados
La vulnerabilidad afecta a varias versiones de FortiOS. Si usas alguna de estas, aplicar el parche debe ser tu prioridad principal. No esperes, actúa ya.
Producto | Versiones afectadas | Versiones corregidas / enlaces de parches |
FortiOS 7.4 | 7.4.0 a 7.4.2 | 7.4.3 o superior |
FortiOS 7.2 | 7.2.0 a 7.2.6 | 7.2.7 o superior |
FortiOS 7.0 | 7.0.0 a 7.0.13 | 7.0.14 o superior |
FortiOS 6.4 | 6.4.0 a 6.4.14 | 6.4.15 o superior |
FortiOS 6.2 | 6.2.0 a 6.2.15 | 6.2.16 o superior |
Descripción técnica de CVE-2024-21762
Vamos a los detalles técnicos. La vulnerabilidad CVE-2024-21762 es un problema clásico de escritura fuera de los límites dentro del daemon sslvpnd de FortiOS. Este proceso se encarga de gestionar las funciones de SSL VPN. La falla existe en la forma en que el daemon maneja ciertos datos de solicitudes HTTP. Un atacante puede elaborar una solicitud HTTP específica que contenga una codificación de transferencia fragmentada donde se manipula el tamaño de un fragmento. Esta manipulación hace que el sistema escriba datos más allá de los límites previstos del búfer en memoria.
Como el proceso sslvpnd se ejecuta con privilegios de root, esta corrupción de memoria se puede aprovechar para lograr la ejecución remota de código (RCE). El atacante obtiene la capacidad de ejecutar comandos arbitrarios en el sistema subyacente, lo que le da control total sobre el firewall. La alta explotabilidad de CVE-2024-21762 se debe a su naturaleza previa a la autenticación; el atacante no necesita credenciales válidas para lanzar su ataque.
Tácticas, técnicas y procedimientos (TTPs)
Los actores de amenazas que explotan la vulnerabilidad CVE-2024-21762 utilizan principalmente TTPs asociadas con el acceso inicial y la ejecución. El vector de acceso inicial es la explotación de la interfaz SSL VPN expuesta públicamente. Una vez comprometido un dispositivo, se ha observado que los atacantes despliegan malware personalizado, a menudo una variante de un webshell, para establecer acceso persistente. Desde ahí, se mueven hacia la red interna, desplazándose lateralmente para acceder a datos sensibles, desplegar ransomware o realizar más actividades de espionaje.
Indicadores de compromiso
Monitorear los indicadores de compromiso (IOCs) de la vulnerabilidad CVE-2024-21762 es fundamental para la detección. Los equipos de seguridad deben buscar entradas de registro inusuales relacionadas con el proceso sslvpnd, especialmente registros de fallos o registros que muestren un comportamiento inesperado. Otro indicador clave es la presencia de archivos inesperados en directorios específicos, como /data/lib/libcli.so, que los atacantes han usado para almacenar cargas maliciosas. El análisis del tráfico de red podría revelar conexiones desde direcciones IP sospechosas que intentan interactuar con la interfaz SSL VPN de FortiGate.
Pruebas de concepto y exploits conocidos
Poco después de la divulgación, los investigadores de seguridad comenzaron a desarrollar y publicar código de prueba de concepto (PoC) que demostraba el exploit de CVE-2024-21762. Estos PoC confirmaron la alta explotabilidad de la vulnerabilidad. La advertencia de CISA sobre explotación activa desde el primer día sugiere que los actores de amenazas, potencialmente grupos patrocinados por estados, tuvieron acceso al exploit antes de que se conociera públicamente. Estos actores han usado el exploit para atacar al gobierno, la tecnología y otros sectores críticos.
¿Cómo detectar la vulnerabilidad CVE-2024-21762?
La detección eficaz de la vulnerabilidad CVE-2024-21762 requiere un enfoque de varias capas. Empieza por ejecutar escaneos de vulnerabilidades en tus dispositivos FortiGate expuestos al exterior para identificar sistemas sin parches. A nivel de endpoint, Managed EDR de Huntress puede ayudar a detectar actividades sospechosas o modificaciones de archivos indicativas de un compromiso. Monitorea los registros de fallos asociados con el proceso sslvpnd, ya que esto puede ser una señal de un intento de exploit fallido o exitoso. Las soluciones SIEM se pueden configurar con reglas para marcar patrones de tráfico anómalos hacia el portal SSL VPN, como solicitudes desde IPs conocidas como maliciosas o solicitudes HTTP malformadas que coinciden con la estructura del exploit.
Impacto y riesgo de la vulnerabilidad CVE-2024-21762
El impacto de un exploit exitoso de CVE-2024-21762 es grave. Dado que la vulnerabilidad permite la ejecución remota de código sin autenticación, un atacante puede tomar control total del firewall. Este dispositivo suele ser el guardián principal entre internet y la red interna de una organización. Un compromiso podría provocar filtraciones de datos generalizadas, despliegue de ransomware, interrupción del negocio y daños financieros y reputacionales significativos. El atacante obtiene un punto de apoyo poderoso para lanzar más ataques en toda la red, lo que convierte esto en un riesgo crítico para cualquier organización con un dispositivo vulnerable.
Estrategias de mitigación y remediación
La estrategia principal para mitigar la vulnerabilidad CVE-2024-21762 es aplicar el parche de inmediato. Fortinet ha publicado versiones de firmware corregidas para todos los productos afectados. Si no puedes aplicar el parche de inmediato, Fortinet recomienda deshabilitar la función SSL VPN en tus dispositivos FortiGate como solución temporal. Esto es difícil de aceptar, ya que interrumpe el acceso remoto de tus usuarios, pero es mejor que quedar completamente comprometido. El escaneo regular de vulnerabilidades y el mantenimiento de un inventario de un activo de ciberseguridad son fundamentales para asegurarte de que todos los dispositivos expuestos a internet estén identificados y protegidos. Adoptar una solución robusta de detección y respuesta ante amenazas como Huntress puede darte la visibilidad necesaria para detectar actividad posterior a la explotación y detener a los atacantes antes de que causen daño.
[[FAQ]]Preguntas frecuentes sobre la vulnerabilidad CVE-2024-21762
[[Q]]¿Qué es CVE-2024-21762 y cómo funciona?
[[A]]CVE-2024-21762 es una vulnerabilidad crítica de escritura fuera de límites en el SSL VPN de FortiOS de Fortinet. Permite que un atacante remoto y no autenticado ejecute código arbitrario al enviar una solicitud HTTP especialmente diseñada. Esto básicamente les da control total sobre el firewall afectado.
[[Q]]¿Cómo infecta CVE-2024-21762 los sistemas?
[[A]]Esto no es una "infección" en el sentido tradicional de malware. En cambio, un atacante explota una falla en el software del firewall. Envía una solicitud maliciosa a la interfaz web del SSL VPN, lo que engaña al sistema para que ejecute su código, comprometiendo el dispositivo directamente sin necesidad de instalar nada primero.
[[Q]]¿Sigue siendo una amenaza CVE-2024-21762 en 2025?
[[A]]Sí, definitivamente sigue siendo una amenaza. Cualquier organización que no haya aplicado los parches necesarios para la vulnerabilidad CVE-2024-21762 sigue expuesta. Los atacantes escanean continuamente internet en busca de sistemas sin parchear, lo que la convierte en un peligro persistente.
[[Q]]¿Cómo pueden las organizaciones protegerse de CVE-2024-21762?
[[A]]La protección más eficaz es actualizar de inmediato tu FortiOS a una versión parchada. Si no puedes aplicar el parche, deshabilita la función SSL VPN hasta que puedas hacerlo. Monitorear continuamente tu red en busca de indicadores de compromiso y usar un servicio de detección y respuesta administrada (MDR) brinda una capa esencial de defensa.
