Una vulnerabilidad crítica de inyección SQL en el FortiClient Endpoint Management Server (EMS) de Fortinet. Identificada como CVE-2026-21643, esta grave falla tiene una puntuación CVSS de 9.1. Permite a atacantes no autenticados ejecutar comandos SQL arbitrarios y acceder a información sensible de la base de datos.

El problema afecta específicamente a la versión 7.4.4 de FortiClient EMS cuando el modo multi-tenant está activo. La causa raíz proviene de una importante refactorización del middleware en la versión 7.4.4. Los desarrolladores cambiaron la forma en que la aplicación maneja las conexiones a la base de datos y el enrutamiento de tenants.

Durante esta actualización, introdujeron un fallo en el archivo de conexión a la base de datos que pasa el encabezado HTTP Site directamente a una consulta search_path de PostgreSQL.

Como el middleware de la aplicación no valida ni sanitiza este encabezado, los atacantes pueden eludir el formato de cadena previsto y ejecutar sus propias consultas maliciosas en la base de datos.

Además, este middleware vulnerable se ejecuta antes de cualquier verificación de autenticación. Explotar esta debilidad no requiere credenciales de inicio de sesión válidas. Los hackers pueden enviar una solicitud web manipulada al servidor a través de HTTPS.

Detalles de la vulnerabilidad de inyección SQL en FortiClient

Investigadores de Bishop Fox descubrieron que el endpoint accesible públicamente /api/v1/init_consts es el vector de ataque más práctico.

Los atacantes pueden usar primero este endpoint para confirmar si el indicador multi-tenant está activo. Si el modo está activado, pueden inyectar cargas útiles SQL a través del encabezado Site.

Este endpoint específico carece de limitación de tasa y protecciones contra ataques de fuerza bruta. Más importante aún, devuelve directamente mensajes de error de la base de datos PostgreSQL en el cuerpo de la respuesta HTTP.

Este fallo de diseño permite a los atacantes extraer rápidamente datos ocultos utilizando métodos de extracción basados en errores en una sola solicitud, evitando la necesidad de inyecciones más lentas basadas en tiempo.

Un ataque exitoso resulta en la compromisión total de la base de datos de gestión. Como el usuario de la base de datos en la máquina virtual de Fortinet se ejecuta con privilegios de superusuario de PostgreSQL, los atacantes pueden lograr la ejecución remota de código en el sistema operativo subyacente.

También pueden robar contraseñas de administradores, extraer certificados digitales y ver el inventario completo de dispositivos gestionados.

Este nivel de acceso permite a los actores de amenazas modificar políticas de seguridad y distribuir configuraciones maliciosas en toda la red de endpoints de una organización.

Esto se alinea con la tendencia más amplia de atacar dispositivos de borde de red y de gestión, que los actores de amenazas valoran mucho.

Los indicadores de compromiso incluyen tiempos de respuesta inusualmente largos (5-20+ segundos) en /api/v1/auth/signin o /api/v1/init_consts, como se registra en los logs de acceso de Apache.

Otro indicador son respuestas HTTP 500 repetidas desde una misma dirección IP en el endpoint /api/v1/init_consts.

Además, los administradores deben monitorear los logs de errores de PostgreSQL en busca de declaraciones search_path que contengan comillas simples, punto y coma o palabras clave SQL como SELECT.

Fortinet solucionó este problema crítico en la versión 7.4.5 reemplazando la interpolación de cadenas de formato con el manejo de identificadores parametrizados y escapando de manera segura la entrada.

Las organizaciones que utilizan FortiClient EMS 7.4.4 deben actualizar a la versión 7.4.5 de inmediato para mitigar el riesgo.

La firma de seguridad Bishop Fox recomienda que los equipos que no puedan aplicar el parche de inmediato desactiven la función multi-tenant "Sites", ya que esto evita que se ejecute la ruta de código vulnerable.

Además, los administradores deben restringir el acceso web a la interfaz de gestión de EMS solo a redes internas de confianza.