Kritikus Fortinet sérülékenység
A Fortinet nemrég megerősítette, hogy kritikus sebezhetőséget – CVE-2025-64446 – aktívan kihasználnak a FortiWeb webalkalmazás-tűzfal eszközök ellen. A hiba lehetővé teszi a támadóknak, hogy távoli, hitelesítés nélkül adminisztrátori hozzáférést szerezzenek a védelmi eszközökhöz, így teljes ellenőrzést nyerjenek felettük. A biztonsági hiányosság valójában két külön sebezhetőség kombinációja, egy útvonal-átlépés (path traversal) és egy hitelesítési kerülés (authentication bypass). Ezek segítségével a támadók adminisztrátori fiókot hozhatnak létre, és így teljes mértékben átvehetik az eszköz felett az irányítást.A Fortinet már korábban kiadott javításokat, de a cég nem tüntette fel a sebezhetőséget a FortiWeb 8.0.2 verzió kiadásának hivatalos jegyzékében, így valószínűleg csendben javította a hibát, miután októberben kiderült, hogy aktívan kihasználják. A biztonsági szakértők szerint a támadók már hetek óta élnek a hibával, és a CISA (Amerikai Kiberbiztonsági és Infrastruktúravédelmi Ügynökség) is felvette a listájára a ismert kihasznált sebezhetőségek közé.A Fortinet ajánlása szerint a felhasználók azonnal frissítsék eszközeiket a legújabb, javított verzióra, vagy ha ez nem lehetséges, akkor a nyilvánosan elérhető felületeken tiltsák le az HTTP/HTTPS adminisztrációs hozzáférést.
