Fortinet heeft fixes vrijgegeven voor een kritieke beveiligingsfout die van invloed is op FortiWeb die een niet -geauthenticeerde aanvaller in staat zou kunnen stellen om willekeurige database -opdrachten uit te voeren op gevoelige gevallen.
Opgevolgd als CVE-2025-25257, draagt de kwetsbaarheid een CVSS-score van 9,6 van een maximum van 10.0.
“Een onjuiste neutralisatie van speciale elementen die worden gebruikt in een SQL-opdracht (‘SQL-injectie’) kwetsbaarheid (CWE-89) in FortiWeb kan een niet-geautherticeerde aanvaller toestaan om niet-geautoriseerde SQL-code of opdrachten uit te voeren via vervaardigde HTTP- of HTTPS-aanvragen,” zei Fortinet in een advies die deze week heeft vrijgegeven.
De tekortkoming heeft invloed op de volgende versies –
- FortiWeb 7.6.0 tot en met 7.6.3 (upgrade naar 7.6.4 of hoger)
- FortiWeb 7.4.0 tot en met 7.4.7 (upgrade naar 7.4.8 of hoger)
- FortiWeb 7.2.0 tot en met 7.2.10 (upgrade naar 7.2.11 of hoger)
- FortiWeb 7.0.0 tot en met 7.0.10 (upgrade naar 7.0.11 of hoger)
Kentaro Kawane van GMO Cybersecurity, die onlangs werd gecrediteerd voor het melden van een reeks kritische gebreken in Cisco Identity Services en ISE Passive Identity Connector (CVE-2025-20286, CVE-2025-20281 en CVE-2025-20282), is erkend voor het ontdekken van de kwestie.
In een analyse van vandaag gepubliceerd, zei WatchTowr Labs dat het probleem is geworteld in een functie genaamd “get_fabric_user_by_token” die is geassocieerd met de stofconnectorcomponent, die fungeert als een brug tussen Fortiweb en andere Fortinet -producten.
De functie wordt op zijn beurt ingeroepen vanuit een andere functie met de naam “Fabric_Access_Check”, die wordt genoemd vanuit drie verschillende API-eindpunten: “/API/Fabric/Device/Status,” “/API/V (0-9)/Fabric/Widget/(Az)+,” en “/API/V (0-9)/Fabric/Widgets.”
Het probleem is dat aanvallergestuurde input-doorgegeven via een drager-token-autorisatiekop in een speciaal vervaardigd HTTP-verzoek-rechtstreeks wordt doorgegeven aan een SQL-database-vraag zonder voldoende sanering om ervoor te zorgen dat deze niet schadelijk is en geen kwaadaardige code omvat.
De aanval kan verder worden uitgebreid door een select … in outfile -instructie in te bedden om de resultaten van de opdrachtuitvoering naar een bestand in het onderliggende besturingssysteem te schrijven door te profiteren van het feit dat de query wordt uitgevoerd als de “MySQL” -gebruiker.
“De nieuwe versie van de functie vervangt de vorige formaat-string-query door voorbereide verklaringen-een redelijke poging om eenvoudige SQL-injectie te voorkomen,” zei beveiligingsonderzoeker Sina Kheirkhah.
Als tijdelijke oplossingen totdat de benodigde patches kunnen worden toegepast, worden gebruikers aanbevolen om HTTP/HTTPS -administratieve interface uit te schakelen.
Met fouten in Fortinet -apparaten die in het verleden door bedreigingsacteurs zijn geëxploiteerd, is het essentieel dat gebruikers snel overstappen naar de nieuwste versie om potentiële risico’s te verminderen.
