Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.

[TLP:CLEAR] Fortinet opravuje 18 zraniteľností

Fortinet opravuje 18 zraniteľností vo svojich produktoch. Najzávažnejšie z nich sú popísané nižšie, zvyšné nájdete v jednotlivých odkazoch. Produkty a ich opravené verzie: FortiADC - 8.0.1, 7.6.4 [1][2][3] FortiClientWindows - 7.4.4, 7.2.11 [4][5][6] FortiExtender - 7.6.3, 7.4.8 [7][8] FortiOS - 7.6.4, 7.4.9 [9][10][11] FortiPAM - 1.6.1 [9][12] FortiProxy - 7.6.4 [9] FortiSASE - 25.3.c (nie je potrebná akcia používateľa) [10] FortiSandbox - 5.0.2, 4.4.8 [13] FortiVoice - 7.2.3, 7.0.8 [14] FortiWeb - 8.0.2, 7.6.6 [15][16][17] FortiMail - 7.6.4, 7.4.6 (bude vydaná) [18]

FortiWeb - spustenie administrátorských príkazov (CVE-2025-64446)
CVSS 9.8 (Critical)

Neautentizovanému vzdialenému útočníkovi je v dôsledku zraniteľnosti typu relative path traversal vo FortiWeb umožnené zasielaním HTTP/HTTPS požiadaviek spúšťať administrátorské príkazy v systéme. Po aktualizácii sa odporúča preveriť konfiguráciu a logy, či neobsahujú podozrivé modifikácie alebo neautorizované admin účty. Ak nie je možná okamžitá aktualizácia, Fortinet odporúča dočasne zakázať HTTP/HTTPS pre rozhrania vystavené do Internetu [17]. Zraniteľnosť bola zaradená na zoznam aktívne zneužívaných zraniteľností CISA [19].

Zraniteľnosť sa nachádza v produkte:

  • FortiWeb; >=7.0.0, <=7.0.11; >=7.2.0, <=7.2.11; >=7.4.0, <=7.4.9; >=7.6.0, <=7.6.4; >=8.0.0, <=8.0.1;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 14. 11. 2025.

FortiVoice - RCE, spustenie príkazov (CVE-2025-58692)
CVSS 8.8 (High)

Autentizovanému vzdialenému útočníkovi je v dôsledku zraniteľnosti typu SQL injection vo FortiVoice umožnené pomocou HTTP/HTTPS požiadaviek neoprávnene spustiť kód alebo príkazy [20].

Zraniteľnosť sa nachádza v produkte:

  • FortiVoice; >=7.0.0, <=7.0.7; >=7.2.0, <=7.2.2;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

  • CVE-2025-58692 na cve.org, NVD
  • CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 18. 11. 2025.

FortiOS, FortiSASE - RCE, spustenie príkazov (CVE-2025-58413)
CVSS 7.5 (High)

Neautentizovanému útočníkovi v priľahlej sieti je v dôsledku chyby v správe pamäte procesu CAPWAP vo FortiOS a FortiSASE umožnené pomocou špeciálne vytvorených paketov neoprávnene spustiť kód alebo príkazy. Pri predvolenom nastavení je útok realizovateľný iba z kompromitovaného, už autorizovaného FortiAP v rovnakom IP subnete a vyžaduje obídenie ASLR [21][22]. Ak nie je možné zariadenie okamžite aktualizovať, odporúčané dočasné mitigácie a ďalšie informácie ku konfigurácii sú uvedené na [21].

Zraniteľnosť sa nachádza v produktoch:

  • FortiOS; >=6.0.0, <=6.0.18; >=6.2.0, <=6.2.17; >=6.4.0, <=6.4.16; >=7.0.0, <=7.0.18; >=7.2.0, <=7.2.12; >=7.4.0, <=7.4.8; >=7.6.0, <=7.6.3;
  • FortiSASE; ==25.3.b;

CVSS: CVSS:3.1/AV:A/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 18. 11. 2025.

FortiWeb - RCE, spustenie príkazov (CVE-2025-58034)
CVSS 7.2 (High)

Autentizovanému vzdialenému útočníkovi je vo FortiWeb umožnené pomocou špeciálne vytvorených HTTP požiadaviek alebo CLI príkazov v operačnom systéme zariadenia neoprávnene spustiť kód [15]. Zraniteľnosť bola zaradená na zoznam aktívne zneužívaných zraniteľností CISA [23].

Zraniteľnosť sa nachádza v produkte:

  • FortiWeb; >=7.0.0, <=7.0.11; >=7.2.0, <=7.2.11; >=7.4.0, <=7.4.10; >=7.6.0, <=7.6.5; >=8.0.0, <=8.0.1;

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

  • CVE-2025-58034 na cve.org, NVD
  • CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 18. 11. 2025.

Za CESNET, z.s.p.o. Michaela Ručková dňa 24. 11. 2025.

CESNET, z.s.p.o. Logo