Fortinet je objelodanio značajan propust u sigurnosti svog operativnog sistema FortiOS, identifikovan kao CVE-2025-24477. Ova ranjivost tipa “heap-based buffer overflow”, klasifikovana pod šifrom CWE-122, utječe na `cw_stad` daemon i može omogućiti ovlaštenom napadaču izvršavanje proizvoljnog koda ili komandi putem posebno kreiranih zahtjeva.
Iako je ova ranjivost ocijenjena kao srednje ozbiljna sa CVSSv3 rezultatom od 4.0, njena potencijalna posljedica, eskalacija privilegija, predstavlja ozbiljan rizik za pogođene sisteme.
**Pogođene verzije i rješenja**
Ranjivost pogađa određene verzije FortiOS-a, a Fortinet je osigurao jasne puteve za nadogradnju kako bi se rizik umanjio. Detaljan pregled pogođenih verzija i preporučenih rješenja je sljedeći:
* FortiOS 7.6: Verzije od 7.6.0 do 7.6.1. Preporučena nadogradnja na 7.6.3 ili noviju.
* FortiOS 7.4: Verzije od 7.4.0 do 7.4.7. Preporučena nadogradnja na 7.4.8 ili noviju.
* FortiOS 7.2: Verzije od 7.2.4 do 7.2.11. Preporučena nadogradnja na 7.2.12 ili noviju.
* FortiOS 7.0: Nije pogođen.
* FortiOS 6.4: Nije pogođen.
Fortinet savjetuje korisnicima da slijede preporučeni put nadogradnje koristeći njihov zvanični alat za nesmetan prelazak na sigurne verzije. Ova ranjivost, praćena pod brojem istrage FG-IR-25-026, naglašava važnost pravovremenih ažuriranja radi zaštite mrežne infrastrukture. Fortinet je ovu informaciju podijelio putem svojih zvaničnih kanala, uključujući i svoje obavijesti o sigurnosnim propustima.
**Pogođeni hardverski modeli**
Određeni FortiWiFi modeli su ranjivi ukoliko su konfigurisani kao bežični klijenti. Pogođeni modeli uključuju:
* FWF_80F_2R_3G4G_DSL
* FWF_80F_2R
* FWF_81F_2R_3G4G_DSL
* FWF_81F_2R_3G4G_POE
* FWF_81F_2R
* FWF_81F_2R_POE
* FWF_90G_2R
* FWF_91G_2R
Organizacije koje koriste ove modele u navedenoj konfiguraciji trebaju dati prioritet primjeni potrebnih ažuriranja kako bi spriječile potencijalnu eksploataciju.
Ovu ranjivost je interno otkrio i prijavio Gwendal Guégniaud iz Fortinetovog tima za sigurnost proizvoda. Njihovo proaktivno identifikovanje propusta koji utječe na komponentu kategoriziranu kao “OSTALO” ističe Fortinetovu posvećenost održavanju sigurnosti svojih proizvoda. Početno objavljivanje ovog problema 8. jula 2025. godine označava početak Fortinetovih napora da informira i zaštiti svoju korisničku bazu od ove prijetnje.
Iako CVSSv3 rezultat ukazuje na nivo srednje ozbiljnosti, mogućnost da ovlašteni napadač eskalira privilegije putem izvršavanja proizvoljnog koda predstavlja kritičnu zabrinutost. Ovo bi potencijalno moglo dovesti do neovlaštenog pristupa ili kontrole nad pogođenim sistemima, ugrožavajući mrežnu sigurnost. Poslovnim subjektima i IT administratorima se snažno preporučuje da procijene svoje FortiOS implementacije i odmah primijene preporučene nadogradnje. Fortinetov brzi odgovor u pružanju zakrpa i detaljnih smjernica odražava stalne izazove u kibernetičkoj sigurnosti, gdje čak i ranjivosti srednje ozbiljnosti mogu imati značajne posljedice ako se eksploatiraju.
