CVE-2025-25256

Podatność wynika z nieprawidłowej neutralizacji znaków specjalnych w poleceniach systemu operacyjnego przetwarzanych przez interfejs CLI FortiSIEM. Atakujący może wysłać spreparowane żądania CLI zawierające złośliwy payload, który zostaje przekazany bezpośrednio do interpretera poleceń systemowych bez odpowiedniego oczyszczenia danych wejściowych. Całkowity brak wymogu uwierzytelnienia (Auth Bypass) oznacza, że exploit może zostać przeprowadzony przez dowolną osobę z dostępem sieciowym do urządzenia.

Skuteczne wykorzystanie podatności pozwala atakującemu na zdalne wykonanie dowolnych poleceń systemowych (RCE) z poziomem uprawnień procesu FortiSIEM, co może prowadzić do pełnego przejęcia systemu, wycieku danych, modyfikacji konfiguracji lub dalszego lateral movement w sieci ofiary.

Należy niezwłocznie zastosować patche dostępne u producenta zgodnie z oficjalnym komunikatem Fortinet (FG-IR-25-152) pod adresem https://fortiguard.fortinet.com/psirt/FG-IR-25-152. Do czasu wdrożenia aktualizacji zaleca się ograniczenie dostępu do interfejsu CLI FortiSIEM wyłącznie do zaufanych adresów IP na poziomie firewall oraz segmentację sieci.

Fortinet FortiSIEM w wersjach: 7.3.0–7.3.1, 7.2.0–7.2.5, 7.1.0–7.1.7, 7.0.0–7.0.3 oraz wszystkich wersjach wcześniejszych niż 6.7.9

Publiczny kod proof-of-concept został opublikowany przez watchTowr Labs w repozytorium GitHub (watchtowrlabs/watchTowr-vs-FortiSIEM-CVE-2025-25256) wraz z analizą techniczną na blogu labs.watchtowr.com. Podatność dotyczy systemu klasy SIEM, który z reguły posiada rozległy dostęp do infrastruktury sieciowej i logów bezpieczeństwa — kompromitacja tego systemu niesie wyjątkowo wysokie ryzyko dla całej organizacji.