Fortinet je obznanio značajan propust u sigurnosti svog operativnog sistema FortiOS, označen kao CVE-2025-24477. Ovaj propust, klasifikovan kao prepunjanje bafera na hrpi (heap-based buffer overflow) i svrstan pod CWE-122, utiče na daemon `cw_stad`. Iskorištavanjem ove ranjivosti, ovlašteni napadač bi mogao izvršiti proizvoljni kod ili komande putem posebno kreiranih zahtjeva.
Sa CVSSv3 ocjenom od 4.0, ranjivost je ocijenjena kao srednje ozbiljnosti, međutim, njen potencijal za eskalaciju privilegija predstavlja ozbiljan rizik za ugrožene sisteme.
**Pogođene verzije i rješenja**
Ovaj propust pogađa određene verzije FortiOS-a, a Fortinet je obezbijedio jasne puteve nadogradnje za ublažavanje rizika. Slijedi detaljan pregled pogođenih verzija i preporučenih rješenja:
| Verzija | Pogođeni opseg | Rješenje |
|————|—————————|———————————-|
| FortiOS 7.6| 7.6.0 do 7.6.1 | Nadograditi na 7.6.3 ili noviju |
| FortiOS 7.4| 7.4.0 do 7.4.7 | Nadograditi na 7.4.8 ili noviju |
| FortiOS 7.2| 7.2.4 do 7.2.11 | Nadograditi na 7.2.12 ili noviju |
| FortiOS 7.0| Nije pogođena | Nije primjenjivo |
| FortiOS 6.4| Nije pogođena | Nije primjenjivo |
Fortinet savjetuje korisnicima da slijede preporučeni put nadogradnje koristeći njihov zvanični alat za nesmetan prelazak na sigurne verzije. Ova ranjivost, praćena pod IR brojem FG-IR-25-026, naglašava važnost blagovremenih ažuriranja radi zaštite mrežne infrastrukture.
**Pogođeni hardverski modeli**
Određeni modeli FortiWiFi uređaja su ranjivi ukoliko su konfigurisani kao bežični klijenti. Pogođeni modeli uključuju:
* FWF_80F_2R_3G4G_DSL
* FWF_80F_2R
* FWF_81F_2R_3G4G_DSL
* FWF_81F_2R_3G4G_POE
* FWF_81F_2R
* FWF_81F_2R_POE
* FWF_90G_2R
* FWF_91G_2R
Organizacije koje koriste ove modele u navedenoj konfiguraciji trebaju dati prioritet primjeni potrebnih ažuriranja kako bi spriječile potencijalnu eksploataciju.
Ovu ranjivost je interno otkrio i prijavio Gwendal Guégniaud iz Fortinetovog tima za sigurnost proizvoda. Njihovo proaktivno identifikovanje propusta koji utiče na komponentu klasifikovanu kao “OSTALO” naglašava posvećenost Fortineta održavanju sigurnosti svojih proizvoda. Početno objavljivanje ovog problema 8. jula 2025. godine označava početak napora Fortineta da informiše i zaštiti svoju bazu korisnika od ove prijetnje.
Iako CVSSv3 ocjena ukazuje na srednji nivo ozbiljnosti, mogućnost da ovlašteni napadač eskalira privilegije putem izvršavanja proizvoljnog koda predstavlja kritičnu zabrinutost. Ovo bi potencijalno moglo dovesti do neovlaštenog pristupa ili kontrole nad pogođenim sistemima, kompromitujući mrežnu sigurnost. Preduzećima i IT administratorima se snažno preporučuje da procijene svoje FortiOS implementacije i odmah primijene preporučene nadogradnje. Fortinetov brz odgovor u pružanju zakrpa i detaljnih uputa odražava tekuće izazove u sajber sigurnosti, gdje čak i ranjivosti srednje ozbiljnosti mogu imati značajne posljedice ukoliko budu iskorištene.
