[TLP:CLEAR] Fortinet opravuje 18 zranitelností

Fortinet opravuje 18 zranitelností ve svých produktech. Nejzávažnější z nich jsou popsány níže, zbylé naleznete v jednotlivých odkazech. Produkty a jejich opravené verze: FortiADC - 8.0.1, 7.6.4 [1][2][3] FortiClientWindows - 7.4.4, 7.2.11 [4][5][6] FortiExtender - 7.6.3, 7.4.8 [7][8] FortiOS - 7.6.4, 7.4.9 [9][10][11] FortiPAM - 1.6.1 [9][12] FortiProxy - 7.6.4 [9] FortiSASE - 25.3.c (není potřeba akce uživatele) [10] FortiSandbox - 5.0.2, 4.4.8 [13] FortiVoice - 7.2.3, 7.0.8 [14] FortiWeb - 8.0.2, 7.6.6 [15][16][17] FortiMail - 7.6.4, 7.4.6 (bude vydáno) [18]

FortiWeb - administrative command execution (CVE-2025-64446)
CVSS 9.8 (Critical)

Neautentizovanému vzdálenému útočníkovi je kvůli zranitelnosti typu relative path traversal ve FortiWeb umožněno zasíláním HTTP/HTTPS požadavků spouštět administrátorské příkazy v systému. Po aktualizaci je doporučeno prověřit konfiguraci a logy, zda neobsahují podezřelé modifikace nebo neautorizované admin účty. Není-li možná okamžitá aktualizace, Fortinet doporučuje dočasně zakázat HTTP/HTTPS pro rozhraní vystavená do Internetu [17]. Zranitelnost byla zařazena na seznam aktivně zneužívaných zranitelností CISA [19].

Zranitelnost se nachází v produktu:

  • FortiWeb; >=7.0.0, <=7.0.11; >=7.2.0, <=7.2.11; >=7.4.0, <=7.4.9; >=7.6.0, <=7.6.4; >=8.0.0, <=8.0.1;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Více informací:

Zranitelnost byla veřejně oznámena 14. 11. 2025.

FortiVoice - RCE, command execution (CVE-2025-58692)
CVSS 8.8 (High)

Autentizovanému vzdálenému útočníkovi je kvůli zranitelnosti typu SQL injection ve FortiVoice umožněno pomocí HTTP/HTTPS požadavků neoprávněně spustit kód nebo příkazy [20].

Zranitelnost se nachází v produktu:

  • FortiVoice; >=7.0.0, <=7.0.7; >=7.2.0, <=7.2.2;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Více informací:

  • CVE-2025-58692 na cve.org, NVD
  • CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 18. 11. 2025.

FortiOS, FortiSASE - RCE, command execution (CVE-2025-58413)
CVSS 7.5 (High)

Neautentizovanému útočníkovi v přilehlé síti je kvůli chybě ve správě paměti procesu CAPWAP ve FortiOS a FortiSASE umožněno pomocí speciálně vytvořených paketů neoprávněně spustit kód nebo příkazy. Při výchozím nastavení je útok realizovatelný pouze z kompromitovaného, již autorizovaného FortiAP ve stejném IP subnetu a vyžaduje obejití ASLR [21][22]. Pokud nelze zařízení ihned aktualizovat, doporučené dočasné mitigace a další informace ke konfiguraci jsou uvedeny na [21].

Zranitelnost se nachází v produktech:

  • FortiOS; >=6.0.0, <=6.0.18; >=6.2.0, <=6.2.17; >=6.4.0, <=6.4.16; >=7.0.0, <=7.0.18; >=7.2.0, <=7.2.12; >=7.4.0, <=7.4.8; >=7.6.0, <=7.6.3;
  • FortiSASE; ==25.3.b;

CVSS: CVSS:3.1/AV:A/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

Více informací:

Zranitelnost byla veřejně oznámena 18. 11. 2025.

FortiWeb - RCE, command execution (CVE-2025-58034)
CVSS 7.2 (High)

Autentizovanému vzdálenému útočníkovi je ve FortiWeb umožněno pomocí speciálně vytvořených HTTP požadavků nebo CLI příkazů v operačním systému zařízení neoprávněně spustit kód [15]. Zranitelnost byla zařazena na seznam aktivně zneužívaných zranitelností CISA [23].

Zranitelnost se nachází v produktu:

  • FortiWeb; >=7.0.0, <=7.0.11; >=7.2.0, <=7.2.11; >=7.4.0, <=7.4.10; >=7.6.0, <=7.6.5; >=8.0.0, <=8.0.1;

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Více informací:

  • CVE-2025-58034 na cve.org, NVD
  • CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 18. 11. 2025.

Za CESNET, z.s.p.o. Michaela Ručková dne 24. 11. 2025.

CESNET, z.s.p.o. Logo