CVE-2023-48788

SQL injection não autenticada no componente DAS (Data Access Server) do FortiClientEMS, que permite a um atacante remoto sem credenciais executar comandos arbitrários no servidor com privilégios de SYSTEM. É pré-condição mínima e trivial de explorar — basta acesso de rede ao serviço — e já está confirmada em exploração ativa, o que justifica o CVSS 9.3 e a entrada na KEV da CISA.

A falha é uma SQL Injection clássica (CWE-89) no componente DAS do FortiClientEMS, o serviço responsável por processar requisições enviadas pelos endpoints gerenciados e por outros componentes internos da solução. O DAS constrói consultas SQL dinamicamente a partir de dados recebidos em requisições de rede sem neutralizar corretamente caracteres especiais, permitindo que um atacante injete SQL arbitrário no contexto de execução do serviço.

Como o serviço roda com privilégios elevados (SYSTEM, segundo a nota da CISA) e a instância de banco de dados subjacente permite execução de comandos a partir de SQL injetado, a falha escala de injeção SQL para execução de código arbitrário no host, não ficando restrita a leitura/manipulação de dados. Não há necessidade de autenticação prévia: o atacante controla o conteúdo do pacote/requisição enviado ao DAS, que é o vetor de entrada da injeção.

O Fortinet classifica a versão 6.4 como não afetada, o que indica que a vulnerabilidade foi introduzida em código específico presente a partir da série 7.0.

O vetor é remoto e não autenticado: o atacante envia uma requisição de rede especialmente formatada ao serviço DAS do FortiClientEMS, que a interpreta como parte de uma consulta SQL. Não há necessidade de credenciais, interação do usuário, nem configuração não padrão — apenas alcance de rede até o serviço vulnerável, o que já é suficiente para colocar em risco qualquer instalação exposta nas versões afetadas.

A Fortinet confirma exploração ativa em ambiente real ('This vulnerability is exploited in the wild'), e a CISA descreve o resultado da exploração como execução de comandos como SYSTEM. A existência de módulo Metasploit, template Nuclei e PoC pública reduz a barreira técnica para exploração em massa — a falha deixou de exigir conhecimento avançado de SQL injection para ser operacionalizada por ferramentas automatizadas de varredura e ataque.

O impacto final é comprometimento total do servidor FortiClientEMS (execução arbitrária de código com privilégios de sistema), que tipicamente atua como ponto central de gerenciamento de endpoints — tornando-o um alvo de alto valor para movimento lateral e propagação em ambientes corporativos.

A correção definitiva é atualizar para FortiClientEMS 7.2.3 ou superior (para a série 7.2) ou 7.0.11 ou superior (para a série 7.0). A série 6.4 não é afetada e não precisa de ação relacionada a esta CVE especificamente.

Como controle compensatório quando a atualização imediata não é viável, a Fortinet publicou a assinatura IPS 'FG-VD-54509.0day:FortiClientEMS.DAS.SQL.Injection', disponível a partir da atualização do banco FMWP 27.750 — isso permite detectar/bloquear tentativas de exploração via IPS, mas não corrige a falha subjacente e não deve ser tratado como substituto do patch. Restringir o acesso de rede ao serviço DAS apenas a hosts confiáveis (segmentação/firewall) reduz a superfície de exposição, mas não elimina o risco caso um atacante já tenha pé dentro da rede interna. Dado o status de exploração ativa e presença na KEV, adiar a atualização equivale a manter uma exposição conhecida e already-weaponized.

Como a exploração ocorre via requisições de rede ao serviço DAS contendo payloads SQL injetados, logs do próprio DAS e do banco de dados subjacente podem registrar consultas malformadas ou erros de sintaxe SQL anômalos coincidindo com requisições externas inesperadas. A assinatura IPS específica da Fortinet ('FG-VD-54509.0day:FortiClientEMS.DAS.SQL.Injection') é o sinal mais confiável disponível para detectar tentativas de exploração, desde que o FMWP esteja atualizado (build 27.750 ou posterior) e o IPS esteja habilitado e monitorando o tráfego relevante. Na ausência dessa assinatura ativa ou de logging detalhado do DAS, não há um indicador de comprometimento simples e universal — a existência de PoC pública e módulo Metasploit favorece variações de payload que dificultam assinaturas genéricas baseadas apenas em padrões de string.