Fortinet je objavio značajan bezbjednosni propust u svom operativnom sistemu FortiOS, označen kao CVE-2025-24477. Ova ranjivost tipa “heap-based buffer overflow”, klasifikovana prema CWE-122, pogađa daemon “cw_stad” i može omogućiti ovlašćenom napadaču izvršavanje proizvoljnog koda ili komandi putem specijalno kreiranih zahtjeva.
Iako ranjivost ima CVSSv3 rezultat od 4.0, što je svrstava u srednju kategoriju ozbiljnosti, njen potencijalni uticaj u vidu eskalacije privilegija predstavlja ozbiljan rizik za ugrožene sisteme.
Ugrožene verzije i rješenja
Ova ranjivost utiče na određene verzije FortiOS-a, a Fortinet je obezbijedio jasne putanje nadogradnje za umanjenje rizika. Slijedi detaljan pregled ugroženih verzija i preporučenih rješenja:
| Verzija | Ugrožen opseg | Rješenje |
|————|————————–|——————————|
| FortiOS 7.6 | 7.6.0 do 7.6.1 | Nadograditi na 7.6.3 ili novije |
| FortiOS 7.4 | 7.4.0 do 7.4.7 | Nadograditi na 7.4.8 ili novije |
| FortiOS 7.2 | 7.2.4 do 7.2.11 | Nadograditi na 7.2.12 ili novije |
| FortiOS 7.0 | Nije ugroženo | Nije primjenjivo |
| FortiOS 6.4 | Nije ugroženo | Nije primjenjivo |
Fortinet savjetuje korisnicima da slijede preporučeni put nadogradnje koristeći njihov zvanični alat za besprekornu tranziciju na sigurne verzije. Ova ranjivost, pod brojem IR FG-IR-25-026, naglašava važnost blagovremenih ažuriranja radi zaštite mrežne infrastrukture.
Ugroženi hardverski modeli
Određeni FortiWiFi modeli su ugroženi ukoliko su konfigurisani kao bežični klijenti. Ugroženi modeli uključuju:
* FWF_80F_2R_3G4G_DSL
* FWF_80F_2R
* FWF_81F_2R_3G4G_DSL
* FWF_81F_2R_3G4G_POE
* FWF_81F_2R
* FWF_81F_2R_POE
* FWF_90G_2R
* FWF_91G_2R
Organizacije koje koriste ove modele u navedenoj konfiguraciji trebaju dati prioritet primjeni neophodnih ažuriranja kako bi spriječile potencijalno eksploatisanje.
Ova ranjivost je interno otkrivena i prijavljena od strane Gwendala Guégniauda iz Fortinetovog tima za sigurnost proizvoda. Njihovo proaktivno identifikovanje propusta koji utiče na komponentu kategorizovanu kao “OSTALO” ističe posvećenost Fortineta održavanju sigurnosti svojih proizvoda. Početno objavljivanje ovog problema 8. jula 2025. godine označava početak Fortinetovih napora da informiše i zaštiti svoju korisničku bazu od ove prijetnje.
Iako CVSSv3 rezultat ukazuje na srednji nivo ozbiljnosti, mogućnost da ovlašćeni napadač eskalira privilegije putem izvršavanja proizvoljnog koda predstavlja kritičnu zabrinutost. Ovo bi potencijalno moglo dovesti do neovlašćenog pristupa ili kontrole nad ugroženim sistemima, čime bi se ugrozila mrežna sigurnost. Biznisima i IT administratorima se snažno preporučuje da procijene svoje FortiOS implementacije i hitno primijene preporučena ažuriranja.
Brzi odgovor Fortineta u pružanju zakrpa i detaljnih smjernica odražava stalne izazove u oblasti sajber sigurnosti, gdje čak i ranjivosti srednje ozbiljnosti mogu imati značajne posljedice ukoliko budu eksploatisane.