Spätná väzba k reportu

Neautentizovanému vzdialenému útočníkovi je umožnené vykonávať príkazy v operačnom systéme postihnutého stroja s právami root zasielaním špeciálne vytvorených TCP požiadaviek. Zraniteľnosť sa týka iba uzlov typu Super a Worker. Ako dočasnú opravu je možné obmedziť prístup na phMonitor port iba na dôveryhodné IP adresy [1]. Ďalšie technické podrobnosti k zraniteľnosti je možné nájsť na [7] a PoC skript je možné nájsť na [8]. Podľa organizácie Defused je zraniteľnosť aktívne zneužívaná v jej honeypotoch [9].

Zraniteľnosť sa nachádza v produkte:

• FortiSIEM; >=7.4.0; <7.4.1; >=7.3.0, <7.3.5; >=7.2.0, <7.2.7; >=7.1.0, <7.1.9; >=7.0.0, <=7.0.4; >=6.7.0, <=6.7.10;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H/E:H/RL:O/RC:C

Viac informácií:

• CVE-2025-64155 na cve.org, NVD
• CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 13. 1. 2026.

Neautentizovanému vzdialenému útočníkovi je umožnené získať konfiguráciu postihnutého zariadenia zasielaním špeciálne vytvorených HTTP(S) požiadaviek [2].

Zraniteľnosť sa nachádza v produkte:

• FortiFone; >=7.0.0, <7.2.0; >=3.0.13; <3.0.24;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N/E:P/RL:X/RC:C

Viac informácií:

• CVE-2025-47855 na cve.org, NVD
• CWE-200: Exposure of Sensitive Information to an Unauthorized Actor na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 13. 1. 2026.

Neautentizovanému vzdialenému útočníkovi je umožnené spúšťať ľubovolný kód alebo príkazy zasielaním špeciálne vytvorených požiadaviek. Využitím bezpečnostných kontrol ako ASLR a PIE je možné znížiť pravdepodobnosť zneužitia zraniteľnosti [3].

Zraniteľnosť sa nachádza v produktoch:

• FortiOS; >=7.6.0; <7.6.4; >=7.4.0, <7.4.9; >=7.2.0, <7.2.12; >=7.0.0, <7.0.18; >=6.4.0, <6.4.17;
• FortiSwitchManager; >=7.2, <7.2.7; >=7.0.0, <7.0.6;

CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H/E:P/RL:W/RC:C

Viac informácií:

• CVE-2025-25249 na cve.org, NVD
• CWE-122: Heap-based Buffer Overflow na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 13. 1. 2026.

Autentizovanému vzdialenému útočníkovi s admin právami na čítanie je umožnené vykonať SQL injection útok zasielaním špeciálne vytvorených HTTP(S) požiadaviek [4].

Zraniteľnosť sa nachádza v produkte:

• FortiClientEMS; >=7.4.3, <7.4.5; >=7.4.0, <7.4.1; >=7.2.0, <7.2.12;

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H/E:P/RL:U/RC:C

Viac informácií:

• CVE-2025-59922 na cve.org, NVD
• CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 13. 1. 2026.

Autentizovanému vzdialenému útočníkovi je umožnené odstraňovať súbory z operačného systému postihnutého zariadenia zasielaním špeciálne vytvorených HTTP(S) požiadaviek [5].

Zraniteľnosť sa nachádza v produkte:

• FortiVoice; >=7.2.0, <7.2.3; >=7.0.0, <7.0.8;

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:H/A:H/E:U/RL:O/RC:C

Viac informácií:

• CVE-2025-58693 na cve.org, NVD
• CWE-22: Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 13. 1. 2026.

Autentizovanému vzdialenému útočníkovi je umožnené vykonať SSRF útok s obmedzením na vnútorné koncové body využívajúce iba protokol HTTP [6].

Zraniteľnosť sa nachádza v produkte:

• FortiSandbox; >=4.0.0, <5.0.5;

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:L/I:L/A:N/E:P/RL:O/RC:C

Viac informácií:

• CVE-2025-67685 na cve.org, NVD
• CWE-918: Server-Side Request Forgery (SSRF) na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 13. 1. 2026.