Проблемите на Fortinet продолжуваат со уште една WAF Zero-Day ранливост

Втора zero-day ранливост во линијата на веб апликацискиот firewall (WAF) на Fortinet е ставена под напад, што отвора нови прашања околу практиките на компанијата за објавување на ранливости.

Во вторник, Fortinet ја објави втората zero-day ранливост во линијата на производи FortiWeb, помалку од една недела по откривањето на друга ранливост во нивниот WAF која беше експлоатирана во реалниот свет.

CVE-2025-58034 е ранливост за OS command injection која, ако се експлоатира, овозможува на аутентициран напаѓач да изврши код на WAF преку специјално креирани HTTP барања или CLI команди. Оваа ранливост со средна сериозност, која доби CVSS резултат 6.7, произлегува од неправилна неутрализација на специјални елементи, според советот на Fortinet.

Оваа објава следува по друга FortiWeb ранливост, проследена како CVE-2025-64446, објавена на 14 ноември, која предизвика обвиненија за „тиха закрпа“ од страна на сајбер-безбедносни компании и професионалци во инфосек.

CVE-2025-58034 отвори дополнителни прашања за практиките на објавување на Fortinet. Ова е и најновата во серијата експлоатирани ранливости и безбедносни закани за производителот на мрежна безбедност, кој во последните години станува сè почеста мета за сајбер-криминалци и државни актери, особено за edge уреди како VPN-и и firewall-и.

Дали FortiWeb Zero-Day ранливостите се поврзани?

Не е јасно дали последната zero-day ранливост произлегува од активноста на експлоатација за CVE-2025-64446, што Fortinet ја потврди минатата недела. Советот за CVE-2025-58034 не дава детали за обемот и изворот на нападите. Dark Reading контактираше со Fortinet за коментар, но компанијата не одговори до моментот на објавување.

Сепак, Orange Cyberdefense од Франција изјави во среда преку серија постови на социјалната мрежа X дека „неколку експлоатациски кампањи“ таргетираат CVE-2025-58034 во комбинирани напади со CVE-2025-64446.

Fortinet го кредитија истражувачот на Trend Micro, Jason McFadyen, за пријавување на CVE-2025-58034. Во изјава за Dark Reading, тимот на Trend Micro рече дека забележале околу 2.000 детекции на експлоатациска активност, и дека ранливоста била откриена додека истражувачите прегледувале постаро прашање во FortiWeb.

„Според нашата сегашна анализа, двете ранливости се одделни проблеми,“ стои во изјавата. „Иако не се директно поврзани, напаѓачите можат да ги комбинираат ранливостите кога е можно, па затоа двете треба да бидат закрпени за намалување на вкупниот ризик.“

Меѓутоа, Rapid7 денес објави техничка анализа на CVE-2025-58034, забележувајќи дека ранливоста била закрпена во надградба пред јавната објава — исто како и CVE-2025-64446.

„Временската рамка за објавување на двете ранливости е само неколку дена разлика. Двете беа закрпени од производителот во претходни надградби без објавување во моментот на закрпата,“ забележа Rapid7. „Очигледно е дека комбинирањето на аутентикациско заобиколување со аутентицирана command injection има смисла. Сите овие факти укажуваат дека многу веројатно овие две ранливости може да формираат експлоатациска ланец за неаутентицирано извршување код на ранливи FortiWeb уреди.“

Rapid7 исто така откри друг проблем. Според анализа на закрпата, истражувачите забележале дека е додадена нова логика за валидација на повеќе функции во FortiWeb. Како резултат, повеќе command injection проблеми биле поправени, но само една CVE ознака е доделена.

„CVE екосистемот функционира најдобро кога една ранливост со еден корен причинител е доделена на еден CVE идентификатор,“ рече Rapid7. „Непрактично е да се доделуваат повеќе ранливости во кодната база со еден CVE идентификатор, бидејќи одбранбените тимови не можат точно да утврдат која ранливост се експлоатира (на пример, мрежниот сообраќај или IoC може да се разликуваат), што може да биде штетно за детекција и исправување.“

Митигaција и одбрана

Американската агенција за сајбер-безбедност и инфраструктура (CISA) во вторник го додаде CVE-2025-58034 во каталогот на Познати Експлоатирани Ранливости (KEV). Во светло на тековните zero-day напади против CVE-2025-64446, „се препорачува скратен рок за поправка од една недела,“ истакна CISA во својот аларм. Според Binding Operational Directive (BOD) 22-01, CISA обично им дава на федералните агенции рок од две недели за закрпување на нови ранливости додадени во KEV.

Orange Cyberdefense препорача клиентите на Fortinet да ги надградат нивните WAF уреди на фиксни верзии — FortiWeb верзии 8.0.2, 7.6.6, 7.4.11, 7.2.12 и 7.0.12 — и да не ги изложуваат управувачките интерфејси на FortiWeb на Интернет. Дополнително, организациите треба да следат за ново креирани кориснички сметки.

Извори:

• Darkreading – Fortinet Woes Continue With Another WAF Zero-Day Flaw Darkreading