Otkrivena je kritična ranjivost u FortiWeb vatrozidima za web aplikacije, koja omogućava neautentifikovanim napadačima da izvrše neovlašćene SQL komande putem posebno kreiranih HTTP i HTTPS zahtjeva.
Ova ranjivost, klasifikovana kao CWE-89 (Nepravilno neutralisanje specijalnih elemenata korišćenih u SQL komandi), predstavlja značajnu prijetnju organizacijama koje se oslanjaju na FortiWeb za sigurnost svojih veb aplikacija.
Ključni zaključci:
Kritična FortiWeb greška, CVE-2025-25257, omogućava napadačima da pokrenu maliciozni SQL putem kreiranih zahtjeva.
Odnosi se na FortiWeb verzije 7.0–7.6 (različite podverzije); odmah nadogradite.
Eksploatacija može ugroziti sigurnost podataka i sistema.
Odmah primijenite zakrpu i privremeno onemogućite administrativne interfejse kao mjeru predostrožnosti.
Ranjivosti je dodijeljen identifikator CVE-2025-25257 i ima CVSS v3 rezultat od 9.6, što ukazuje na kritičan nivo ozbiljnosti.
Ranjivost u FortiWeb-u potiče od nepravilnog mehanizma validacije ulaznih podataka u GUI komponenti proizvoda.
Napadači mogu iskoristiti ovaj nedostatak slanjem malicioznih HTTP ili HTTPS zahtjeva koji sadrže posebno kreirane SQL dijelove koji zaobilaze sigurnosne kontrole aplikacije.
Ranjivost omogućava napade ubrizgavanja SQL-a (SQL injection), gdje se zlonamjerni SQL kod ubacuje u upite baze podataka, potencijalno omogućavajući napadačima da čitaju, mijenjaju ili brišu osjetljive podatke pohranjene u pozadinskoj bazi podataka.
Tehnička klasifikacija CWE-89 ukazuje na to da se ranjivost javlja kada korisnički unos nije pravilno očišćen prije nego što bude uključen u SQL upite.
Ovaj fundamentalni sigurnosni propust omogućava napadačima da manipulišu bazom podataka ubacivanjem zlonamjernih SQL komandi putem veb zahtjeva.
Činjenica da neautentifikovani napadači mogu iskoristiti ovu ranjivost značajno povećava njen profil rizika, jer nije potreban nikakav prethodni pristup sistemu ili akreditacije za pokretanje napada.
Faktori rizika i detalji:
Pogođeni proizvodi: FortiWeb 7.6.0–7.6.3, FortiWeb 7.4.0–7.4.7, FortiWeb 7.2.0–7.2.10, FortiWeb 7.0.0–7.0.10.
Uticaj: Izvršavanje neautorizovanog koda ili komandi.
Preduslovi za eksploataciju: Nema (neautentifikovani, udaljeni napadač).
CVSS 3.1 rejting: 9.6 (Kritično).
Ranjivost pogađa više verzija FortiWeb-a u različitim granama izdanja. Verzije FortiWeb 7.6 od 7.6.0 do 7.6.3 su ranjive i zahtijevaju nadogradnju na verziju 7.6.4 ili noviju. Verzije FortiWeb 7.4 od 7.4.0 do 7.4.7 zahtijevaju nadogradnju na verziju 7.4.8 ili noviju. Verzije FortiWeb 7.2 od 7.2.0 do 7.2.10 zahtijevaju nadogradnju na verziju 7.2.11 ili noviju, dok verzije FortiWeb 7.0 od 7.0.0 do 7.0.10 zahtijevaju nadogradnju na verziju 7.0.11 ili noviju.
Posljedice uspješne eksploatacije uključuju mogućnost izvršavanja neautorizovanog koda ili komandi na pogođenim sistemima. Ovo bi moglo dovesti do potpune kompromitacije sistema, iznošenja podataka, prekida usluga ili bočnog kretanja unutar mrežne infrastrukture.
Organizacije bi trebalo odmah da nadograde svoje FortiWeb instalacije na zakrpljene verzije navedene za svaku pogođenu granu. Kao privremeno rješenje, administratori mogu onemogućiti administrativni interfejs za HTTP/HTTPS kako bi smanjili površinu napada do završetka procesa zakrpe.
Ranjivost je odgovorno objavio Kentaro Kawane iz GMO Cybersecurity by Ierae, naglašavajući važnost procesa odgovornog objavljivanja ranjivosti. Organizacije bi trebalo da implementiraju dodatne sigurnosne mjere kao što su mrežna segmentacija, kontrole pristupa i kontinuirano praćenje kako bi otkrili potencijalne pokušaje eksploatacije dok se zakrpe primjenjuju.
