Η σιωπηλή ενημέρωση της Fortinet εκμεταλλεύεται σοβαρό σφάλμα στο FortiWeb

Οι ερευνητές ασφαλείας προειδοποιούν για δύο κρίσιμες ευπάθειες στις συσκευές FortiWeb της Fortinet, που τώρα παρακολουθούνται υπό το CVE-2025-64446 και εκμεταλλεύονται ενεργά.

Δείτε επίσης: Fortinet FortiWeb: Κυκλοφορεί exploit για κρίσιμη ευπάθεια

Σύμφωνα με ευρήματα που δημοσιεύθηκαν από την watchTowr, μία ευπάθεια επιτρέπει σε μη αυθεντικοποιημένους δράστες να έχουν πρόσβαση σε εσωτερικά σημεία CGI μέσω σχετικής διαδρομής, ενώ το άλλο ζήτημα παράκαμψης αυθεντικοποίησης, τους επιτρέπει να προσποιούνται οποιονδήποτε διαχειριστή εκμεταλλευόμενοι την κεφαλίδα “HTTP_CGIINFO“. Ακόμη πιο ανησυχητική είναι η προφανής εκμετάλλευση της ευπάθειας για εβδομάδες πριν από την ανακοίνωση της Fortinet στις 14 Νοεμβρίου, καθιστώντας την ευπάθεια zero-day.

Η Fortinet φέρεται να απέστειλε σιωπηλές ενημερώσεις για το σφάλμα μέσω της έκδοσης v8.0.2 μετά την εμφάνιση αναφορών εκμετάλλευσης. “Τις τελευταίες ημέρες, πολλές εταιρείες ασφαλείας, CERTs και άτομα έχουν κρούσει τον κώδωνα του κινδύνου για την ενεργή εκμετάλλευση της σιωπηλά ενημερωμένης ευπάθειας,” δήλωσε η Caitlin Condon της VulnCheck σε ανάρτηση στο blog.

Η Υπηρεσία Κυβερνοασφάλειας και Ασφάλειας Υποδομών των ΗΠΑ (CISA) έχει προσθέσει το σφάλμα στον κατάλογο των Γνωστών Εκμεταλλευμένων Ευπαθειών (KEV), κατευθύνοντας όλες τις ομοσπονδιακές πολιτικές υπηρεσίες να ενημερώσουν το σφάλμα έως τις 21 Νοεμβρίου. Η πρώτη φάση της αλυσίδας επίθεσης ξεκινά με μια σχετική διαδρομή στο χειριστή GUI/API του FortiWeb. Οι ερευνητές της Picus εξηγούν ότι αιτήματα υπό τη διαδρομή “api/v2.0/” μπορούν να χειραγωγηθούν χρησιμοποιώντας ακολουθίες όπως “../../../../../cgi-bin/fwbcgi“, ανακατευθύνοντας έτσι την κλήση στο εσωτερικό παλαιό στοιχείο CGI αντί για το προβλεπόμενο σημείο API.

Δείτε ακόμα: Ευπάθεια στα FortiPAM και FortiSwitch Manager παρακάμπτει τη διαδικασία επαλήθευσης

Ουσιαστικά, η διαμόρφωση του Apache της συσκευής προωθεί το κατασκευασμένο αίτημα στο “fwbcgi“, παρακάμπτοντας τις αναμενόμενες προστασίες. Μόλις ο επιτιθέμενος φτάσει στο backend CGI, εκμεταλλεύεται ένα δεύτερο σχεδιαστικό σφάλμα – η λειτουργία cgi_auth() επεξεργάζεται τυφλά μια κεφαλίδα “HTTP_CGIINFO” που παρέχεται από τον πελάτη. Τα πεδία JSON στην κεφαλίδα δέχονται όνομα χρήστη, profname, vdom και loginname χωρίς σωστούς ελέγχους, με αποτέλεσμα ένας μη αυθεντικοποιημένος επιτιθέμενος να προσποιείται οποιονδήποτε λογαριασμό διαχειριστή και να αποκτά πλήρη δικαιώματα διαχειριστή.

Συνδυασμένα, αυτά τα βήματα επιτρέπουν την πλήρη εκτέλεση απομακρυσμένου κώδικα χωρίς διαπιστευτήρια. Η σχετική διαδρομή ανοίγει την πόρτα και η πλαστογράφηση της κεφαλίδας θέτει την επίθεση σε κίνηση. Η Fortinet έδωσε στο σφάλμα μια βαθμολογία σοβαρότητας 9.1 στα 10, ενώ οι ερευνητές της Picus πιστεύουν ότι θα έπρεπε να είναι 9.8.

Ενώ η Fortinet δημοσίευσε επίσημα μια συμβουλή για το CVE-2025-64446 στις 14 Νοεμβρίου 2025, η προηγούμενη σημείωση έκδοσης του προμηθευτή δεν έκανε καμία αναφορά στην ευπάθεια ή τη διόρθωση, οδηγώντας σε κριτική ότι η ενημέρωση εφαρμόστηκε σιωπηλά. Η VulnCheck είχε αναφέρει σχεδόν 300 περιπτώσεις FortiWeb που αντιμετωπίζουν το διαδίκτυο μέσω του Shodan και ένα ευρύτερο ~2700 μέσω του FOFA, όλα δυνητικά ευάλωτα.

Δείτε επίσης: Συντονισμένη επίθεση σε συσκευές Cisco, Fortinet και Palo Alto Networks

Οι επηρεαζόμενες εκδόσεις περιλαμβάνουν τις 7.0.0 έως 7.0.11, 7.2.0 έως 7.2.11, 7.4.0 έως 7.4.9, 7.6.0 έως 7.6.4 και 8.0.0 έως 8.0.1. Οι διορθώσεις εφαρμόζονται στις εκδόσεις 7.0.12, 7.2.12, 7.4.10, 7.6.5 και 8.0.2. Η Fortinet συνιστά την απενεργοποίηση του HTTP ή HTTPS για διεπαφές που αντιμετωπίζουν το διαδίκτυο για πελάτες που δεν μπορούν να αναβαθμίσουν άμεσα.