Изследовател по сигурността разкри частична версия на експлойт за критична уязвимост във FortiWeb – защитната стена за уеб приложения на Fortinet. Уязвимостта е проследена като CVE-2025-52970 и вече има наличен ъпдейт от производителя (пуснат на 12 август).
Какво представлява FortMajeure?
Уязвимостта, наречена от откривателя ѝ FortMajeure, е резултат от грешка при обработката на „cookie“ параметъра Era. Когато стойността му бъде манипулирана, сървърът използва нулев криптографски ключ за криптиране и HMAC подписване на сесии. Това позволява на атакуващия лесно да създаде фалшиви „authentication cookies“ и да заобиколи напълно автентикацията.
Потенциални последици
Успешна експлоатация на CVE-2025-52970 дава възможност за:
-
имперсонация на всеки активен потребител, включително администратори;
-
пълен достъп до системата, вкл. REST интерфейси и потенциално CLI чрез
/ws/cli/open.
За да успее атаката, жертвата трябва да има активна сесия по време на експлойта. Атакуващият трябва да „отгатне“ малко числово поле в cookie-то, но диапазонът е изключително малък (обикновено до 30), което прави процеса тривиален.
Засегнати версии и корекции
Уязвимостта засяга FortiWeb 7.0 до 7.6, като корекциите са налични в следните версии:
-
FortiWeb 7.6.4 и по-нови
-
FortiWeb 7.4.8 и по-нови
-
FortiWeb 7.2.11 и по-нови
-
FortiWeb 7.0.11 и по-нови
Версия FortiWeb 8.0 не е засегната. Fortinet не предлага алтернативни решения – ъпдейтът е единственото ефективно действие.
Рискът е сериозен
Въпреки че Fortinet е оценил CVSS тежестта на 7.7 („висока“), тя изглежда подценена. Официалното обяснение е „висока сложност на атаката“, но реално брутфорс компонентът е лесен и бърз.
Изследователят Aviv Y вече е публикувал частичен PoC, показващ имперсонация на администратор, но е задържал пълния експлойт, за да даде време на организациите да приложат корекциите.
Препоръки
-
Администраторите трябва незабавно да обновят FortiWeb до защитените версии.
-
Да се засилят мониторингът и лог анализа за признаци на подозрителни сесии или аномалии в cookie параметрите.
-
Да се следят новите публикации на Fortinet и изследователя, тъй като пълната информация за експлойта може да бъде споделена скоро.
