Fortinet opravil 2 aktívne zneužívané zraniteľnosti vo WAF FortiWeb

Spoločnosť Fortinet vydala bezpečnostné aktualizácie svojho webového aplikačného firewallu FortiWeb, ktoré opravujú 2 aktívne zneužívané zero day zraniteľnosť. Zraniteľnosti s identifikátormi CVE-2025-64446 a CVE-2025-58034 možno zneužiť na získanie úplnej kontroly nad systémom.

Zraniteľné systémy:

  • Fortinet FortiWeb 8.0.0 až 8.0.1
  • Fortinet FortiWeb 7.6.0 až 7.6.5
  • Fortinet FortiWeb 7.4.0 až 7.4.10
  • Fortinet FortiWeb 7.2.0 až 7.2.11
  • Fortinet FortiWeb 7.0.0 až 7.0.11

Opis zraniteľností:

CVE-2025-64446  (CVSSv3 skóre 9,4)

Aktívne zneužívaná kritická zraniteľnosť grafického rozhrania FortiWeb umožňujúca prechod medzi relatívnymi cestami sa nachádza v grafickom používateľskom rozhraní produktu. Vzdialený neautentifikovaný útočník by ju zaslaním špeciálne vytvorených požiadaviek HTTP/S mohol zneužiť na vykonávanie administratívnych príkazov.

Fortinet zraniteľnosť opravil už 28. októbra 2025, avšak bez pridelenia identifikátora CVE. Po zverejnení informácií o jej aktívnom zneužití a  kódu demonštrujúceho mechanizmus jej zneužitia bol zraniteľnosti dodatočne pridelený CVE-2025-64446.

CVE-2025-58034  (CVSSv3 skóre 6,7)

Aktívne zneužívaná CVE-2025-58034 spočíva v nesprávnej neutralizácii špeciálnych prvkov používaných v rámci príkazov operačného systému. Vzdialený autentifikovaný útočník by ju zaslaním špeciálne vytvorených HTTP požiadaviek alebo príkazov CLI mohol zneužiť na vzdialené vykonanie kódu.

Možné škody:

  • Vzdialené vykonanie príkazov
  • Vzdialené vykonanie kódu
  • Získanie úplnej kontroly nad systémom

Odporúčania:

Administrátorom odporúčame bezodkladnú aktualizáciu FortiWeb na verzie 8.0.2, 7.6.6, 7.4.11, 7.2.12, 7.0.12 alebo novšie. Okrem aktualizácie je potrebné vykonať kontrolu logov na prítomnosť pokusov o zneužitie zraniteľnosti a audit používateľských kont za účelom identifikácie neznámych účtov vytvorených útočníkom. Rovnako odporúčame administratívne rozhrania prevádzkovať úplne oddelene od internetu.

Zdroje: