Fortinet ha emitido un aviso urgente que revela una vulnerabilidad crítica en FortiPAM y FortiSwitch Manager que permite a atacantes eludir la autenticación mediante ataques de fuerza bruta. La falla, identificada como CVE-2025-49201, afecta los mecanismos de autenticación en los componentes Web Application Delivery (WAD) y GUI, con un puntaje CVSS v3.1 de 7.4 (alta severidad). Esto podría permitir la ejecución remota no autorizada de código o inyección de comandos.
CVE y severidad
- ID: CVE-2025-49201
- Puntaje CVSS v3.1: 7.4
- Severidad: Alta
- Componentes afectados: Módulos Web Application Delivery (WAD) y GUI de FortiPAM y FortiSwitch Manager
- Explotación pública: No reportada
Productos afectados
| Fabricante | Producto | Versiones afectadas | Versión sin afectación |
|---|---|---|---|
| Fortinet | FortiPAM | 1.5.0; 1.4.0 – 1.4.2; todas las versiones 1.3, 1.2, 1.1 y 1.0 | 1.6, 1.7 |
| Fortinet | FortiSwitch Manager | 7.2.0 – 7.2.4 (serie 7.2) | 7.0 (serie 7.0) |
Solución
Actualizar FortiPAM a la versión 1.5.1 o superior, o a partir de la 1.4.3 para versiones 1.4.x; migrar a una versión corregida para ramas anteriores; y actualizar FortiSwitch Manager a la versión 7.2.5 o superior.\n
Recomendaciones
Se recomienda aplicar las actualizaciones lo antes posible para mitigar riesgos, monitorear intentos de inicio de sesión inusuales y activar autenticación multifactor como medida temporal de defensa.\n